Encore une autre société n'a pas réussi à sécuriser sa base de données et 198 millions d'acheteurs de voitures ont été exposés

Trop souvent, les coûts élevés sont cités comme la raison principale pour laquelle les données privées des personnes ne sont pas sécurisées. Lorsque les organisations subissent une cyberattaque, elles ont tendance à affirmer q elles auraient utilisé les bons outils et embauché les bonnes personnes si les coûts étaient pas si élevés.

Toutefois, à de nombreuses reprises, les entreprises ont pas besoin de dépenser des millions pour sécuriser les informations des personnes. Il suffit souvent éviter les erreurs les plus élémentaires. Un récent incident de sécurité des données impliquant un réseau de sites Web appartenant à DealerLeads le confirme.

Près de 200 millions acheteurs de voitures ont leurs données exposées

En août, Jeremiah Fowler de SecurityDiscovery.com a découvert une base de données contenant les noms, adresses électroniques, numéros de téléphone, adresses physique et IP, ainsi que autres informations identifiables concernant 198 millions de personnes. Au début, il avait du mal à trouver à qui appartenait le jeu de données de 413 Go, mais après quelques recherches, il avait compris q il appartenait à DealerLeads. Les premiers rapports par courrier électronique sont restés sans réponse, mais une fois q il a décroché le téléphone, entreprise est passée à action et a pris les précautions nécessaires pour sécuriser les données.

Mais comment DealerLeads a-t-il collecté toutes ces informations en premier lieu? Et comment les données ont-elles été exposées?

Le modèle économique de DealerLeads s’articule autour de l’achat et de la vente de voitures neuves et anciennes. La société n’échange en réalité aucune automobile. Au lieu de cela, il dispose un réseau de sites Web bien référencés qui attire un grand nombre acheteurs de voitures et les redirige vers des concessionnaires qui paient pour le trafic supplémentaire et les clients.

Les informations découvertes par Jeremiah Fowler ont apparemment été recueillies alors que les acheteurs potentiels de voitures se trouvaient toujours sur les sites Web de DealerLeads. Il est difficile de dire à quel point les utilisateurs sont bien informés de la collecte de données et on ne sait pas non plus ce que DealerLeads voulait en faire. Quel que soit le but de la base de données, toutefois, elle était pas protégée aussi bien q elle aurait dû être.

Une autre violation de données causée par une erreur de configuration de base

Malheureusement, nous parlons encore une fois d’une base de données volumineuse contenant de nombreuses informations sensibles, accessible à tous les utilisateurs d’un navigateur. Encore une fois, c’était un serveur ElasticSearch exposé à Internet et, encore une fois, il n’était pas protégé par un mot de passe.

Il est le dernier une très longue ligne incidents exposition de données massives qui ont eu lieu non pas parce que les cybercriminels étaient trop intelligent ou sophistiqué, mais parce que les entreprises chargées de la protection de information des gens ne font pas ce q ils devaient faire.

Nous ne parlons pas de solutions de sécurité coûteuses. Nous parlons un manque de compréhension fondamentale des outils disponibles et de leurs mécanismes de protection. Cela équivaut à mettre toutes vos données sensibles dans un smartphone et à laisser appareil sans surveillance et déverrouillé dans un lieu public. La différence est que dans le cas de DealerLeads, près de 200 millions de personnes ont été touchées. À quel point ces 200 millions de personnes devraient-elles inquiéter?

Les cybercriminels ont peut-être eu accès aux données divulguées

La base de données a été mise hors ligne le 20 août, peu après que Jeremiah Fowler ait signalée. Personne ne dit pour combien de temps il a été exposé, et bien q il soit difficile de savoir si Fowler a été le premier à le découvrir, le chercheur lui-même a admis avoir vu "plusieurs fois" avant son rapport. En autres termes, il ne sera pas surprenant q il avère que les données sont déjà tombées entre de mauvaises mains, ce qui accentue la réticence de DealerLeads à publier une déclaration publique.

Il y a rien officiel pour le moment, et il est difficile de dire si le secteur du référencement contacte individuellement les utilisateurs concernés. Quoi q il en soit, incident ne doit pas être sous-estimé.

Il y a suffisamment informations identifiables pour causer beaucoup de tort dans le monde réel, et la présence adresses IP et autres données dans installation mal configurée ElasticSearch ouvre également la porte à la criminalité numérique. Si vous pensez que vos données ont peut-être été exposées, vous devez être encore plus prudent que habitude.