Voici ce qui se passe lorsqu'un entrepreneur Sprint expose des factures AT&T, T-Mobile et Verizon

Deardorff Communications, société de marketing et de communication basée en Géorgie, explique sur son site Web (qui est chargé via HTTP et non sur HTTPS) que son équipe possède une grande expérience dans divers domaines, notamment la planification stratégique, ventes, publicité, etc. Malheureusement, leur expertise manque un peu en ce qui concerne la configuration des compartiments de stockage Amazon Web Service.

Un employé de Deardorff a placé un peu plus de 250 000 documents dans un compartiment Amazon S3, n'a pas réussi à définir de mot de passe et a oublié de modifier les paramètres d'accessibilité de "public" à "privé". En conséquence, le compartiment, ainsi que tous les fichiers qu’il contient, peuvent être consultés de n’importe où dans le monde. Sans surprise, à un moment donné, les chercheurs d'une société de tests d'intrusion appelée Fidus Information Security, les mêmes personnes qui ont révélé une faille de sécurité dans le nouvel eRosary du Vatican ainsi qu'une fuite de données de l'éditeur de Magic: The Gathering, ont fini par regarder le seau de Deardorff..

Des factures de téléphone et de nombreuses informations sensibles laissées en suspens

Il y avait un peu plus de 260 000 documents dans le panier, et la majorité d'entre eux étaient des factures de téléphone portable appartenant à des abonnés d'AT&T, de T-Mobile et de Verizon. Deardorff a collecté tous ces fichiers parce que Sprint, l'un de leurs plus gros clients, voulait persuader les abonnés de changer de fournisseur de service de téléphonie mobile. Selon l'un des documents, Sprint était même disposée à payer les frais de résiliation anticipée, simplement pour faire en sorte que davantage de personnes utilisent ses services.

Les factures de téléphone elles-mêmes révèlent un grand nombre d'informations personnelles et de coordonnées, et contiennent souvent des journaux d'appels, que certaines personnes préfèrent probablement ne pas partager avec le reste du monde. En plus de tout cela, les chercheurs ont également trouvé un relevé bancaire et une capture d'écran qui révélaient les noms d'utilisateur, les mots de passe et les codes confidentiels en ligne d'un nombre inconnu d'abonnés.

Au début, il n'était pas clair qui avait exposé les données. Peu de temps après avoir trouvé le compartiment, les experts ont averti Amazon, qui a pris contact avec le propriétaire des données et les a mises hors ligne. Pour des raisons juridiques cependant, Amazon a refusé de dire à Fidus qui était responsable de la fuite.

Les données ont toutefois été partagées avec Zack Whittaker de TechCrunch, qui a géré certains des fichiers via un vérificateur de métadonnées et a appris que celui-ci appartenait probablement à Deardorff. Jeff Deardorff, président de la société de marketing, a admis qu'un de ses employés était responsable de la fuite et a promis qu'il ferait tout son possible pour comprendre ce qui n'allait pas et ce qui pourrait être fait pour éviter des incidents similaires à l'avenir.

Les fuites de données comme celle-ci sont beaucoup trop courantes

Certains d'entre vous pourraient dire que cet incident est loin d'être le plus horrible et que de nombreux autres documents peuvent être beaucoup plus dangereux. Un rapide coup d’œil à votre dernière facture téléphonique révèle cependant que ce qui ressemble à un morceau de papier inoffensif contient en réalité des informations qui peuvent facilement conduire à un vol d’identité. Dans ce cas particulier, Deardorff a également révélé les mots de passe et les codes PIN des abonnés, ce qui augmente le risque d'attaques telles que la permutation de cartes SIM et le bourrage d'informations d'identification.

Le vrai problème est que des fuites similaires se produisent quotidiennement. Le plus souvent, elles sont causées par des erreurs de configuration faciles à éviter et simples, mais le manque d'éducation signifie que les informaticiens ne savent pas quoi faire lorsqu'ils sont chargés de stocker en toute sécurité les données des utilisateurs.

Deardorff n'a pas précisé quand le seau a été ouvert au public et personne ne peut confirmer si les cybercriminels ont réussi à le contacter avant sa mise hors ligne. Zack Whittaker a demandé à AT&T, Verizon et T-Mobile de faire des commentaires supplémentaires, mais il n'a rien reçu de substantiel, probablement parce que les trois opérateurs de télécommunication n'ont tout simplement rien à ajouter. Le résultat est que nous ne savons pas combien de personnes pourraient être touchées par la fuite, ce qui signifie que si vous êtes un abonné d'AT&T, Verizon ou T-Mobile ou si vous êtes passé d'eux à Sprint, vous voudrez peut-être: méfiez-vous des signes de fraude ou de vol d'identité.