Assigné en justice aux États-Unis pour les pratiques commerciales associées à l’exploitation de son logiciel MacKeeper, ZeoBIT a connu un autre souci cette semaine : un défaut de protection des données personnelles de ses clients. L’alerte a été lancée lundi sur Reddit par le dénommé Chris Vickery.
Sous le pseudo « FoundTheStuff », ce chercheur en sécurité a expliqué, capture d’écran à l’appui, avoir pu accéder à une base MongoDB contenant des informations sensibles liées à 13 millions de comptes. Essentiellement des utilisateurs de MacKeeper, mais aussi d’autres solutions développées par ZeoBIT et sa maison mère Kromtech – basée en Allemagne.
Noms, numéros de téléphone, adresses e-mail, IP publiques, informations de licence, historique des produits achetés… Autant d’éléments accessibles tels quels, sur le web, en clair, sans aucun mot de passe. Chris Vickery a délibérément entretenu le flou aussi longtemps que la base de données en question n’avait pas été sécurisée.
Plus de 24 heures se sont écoulées entre sa publication sur Reddit et la réaction de Kromtech, resté injoignable entretemps. Mardi dans la journée, l’éditeur lui confirme que l’incident est clos. Mais dans la foulée, le chercheur découvre trois adresses IP supplémentaires sur lesquelles des informations restent accessibles.
Une fois ce deuxième problème résolu, Chris Vickery explique son mode opératoire : c’est en lançant « par hasard » la requête « port:27017 » sur le Shodan.io (moteur de recherche sur les objets connectés à Internet) qu’il s’est aperçu que le moteur avait indexé les IP des instances MongoDB, les laissant en accès libre.
Du côté de Kromtech, on assure, sur une page d’information mise en place pour l’occasion, que personne à part Chris Vickery n’a accédé à la base de données. Tout en précisant qu’aucun numéro de carte bancaire n’a pu être exposé, les paiements étant gérés par un tiers.
Au-delà de MacKeeper, le plus inquiétant, explique ITespresso c’est cette déclaration de Chris Vickery, qui affirme avoir « trouvé, ces deux dernières semaines, pas moins de 25 millions de comptes utilisateurs laissés sans protection par différents services en ligne ».
Logiciel de maintenance pour les systèmes OS X, MacKeeper est connu comme un loup blanc. Certains se demandent quelle est son utilité, hormis collecter des données. Il faut dire que certains comportements le rapprochent d’un malware…
A lire aussi :
Haro sur la sécurité des Mac d’Apple
Bloatware : des millions de PC Lenovo, Dell et Toshiba piratables
Respectivement DG et CTO de Red Hat France, Rémy Mandon et David Szegedi évoquent le…
Canonical formalise un service de conception de conteneurs minimalistes et y associe des engagements de…
L'Autorité de la concurrence s'apprêterait à inculper NVIDIA pour des pratiques anticoncurrentielles sur le marché…
Le CERT-FR revient sur les failles dans équipements de sécurité présents notamment en bordure de…
Mistral AI formalise ses travaux communs avec l'entreprise finlandaise Silo AI, qui publie elle aussi…
La présidente de Numeum, Véronique Torner, revient sur la genèse de la tribune du collectif…