Une mystérieuse BDD laisserait accessibles des données sur 191 millions d’Américains
Une paille...
Pour finir l'année 2015 en beauté, une base de données contenant des informations personnelles sur pas moins de 191 millions d'américains serait librement accessible. Faute d'avoir pu trouver son propriétaire, cela serait encore le cas maintenant.
Depuis quelques jours, une sombre et mystérieuse histoire de fuite de données agite plusieurs de nos confrères aux États-Unis : une mauvaise configuration d'une base de données laisserait accessibles des données personnelles de près de 191 millions d'Américains inscrits sur les listes électorales, une paille !
Une base de données de 300 Go librement accessible
On y retrouverait les noms, prénoms, genres, numéros de téléphone, date de naissance, affiliation politique, identifiants pour les votes et historique de participation aux dernières élections. Plusieurs de nos confrères comme DataBreaches, CSO Online et Forbes ont testé la véracité des informations détenues par Chris Vickery, avec succès à chaque fois.
La base de données occuperait pas moins de 300 Go et, selon Chris Vickery qui est à l'origine de cette découverte, elle ne demanderait aucun mot de passe ou identification afin de livrer toutes les informations qu'elle renferme. Problème, elle serait encore librement accessible à l'heure actuelle (à condition de savoir où elle se trouve).
Propriétaire inconnu, Nation Builder réagit officiellement
De plus, la provenance de cette hémorragie n'est pas connue. Plusieurs de nos confrères ont évidemment mené l'enquête auprès de différentes institutions américaines afin de retrouver son propriétaire, sans succès jusqu'à présent. Plusieurs vecteurs pointeraient vers la société Nation Builder, mais cette dernière a démenti être propriétaire de la base de données. Un de ses représentants affirme à nos confrères de DataBreaches que l'adresse IP qui pointe vers la BDD n'est pas une des leurs ni une des clients qu'elle héberge.
Elle ajoute néanmoins que, « bien que la base de données ne nous appartienne pas, il est possible que certaines des informations qu'elle contienne puissent provenir de données que nous mettons à disposition gratuitement pendant des campagnes [...] De ce que nous avons vu, les informations d'électeurs dont il est question sont déjà accessibles publiquement dans chaque état, donc aucune nouvelle information ou donnée privée n'a été publiée dans cette base de données ».
Comme toujours en pareille situation, l'un des principaux risques est lié au phishing : des pirates ayant possession de cette manne de données pourraient tenter de récupérer d'autres informations en se faisant passer par une organisation officielle par exemple.
Commentaires (45)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 02/01/2016 à 21h17
C’est pas faux, c’est le c^té un peu niouzaclick, parce qu’il faut bien vivre. Quand on voit ce qu’est devenu Numérama, faut se dire qu’on est encore pas trop mal loti ici.
Par contre, je suis pas certain que les gens qui ont remplis le formulaire pour nourrir la base de données étaient bien conscient que tout ça allait se retrouver en accès public. C’est peut-être là que ça coince et donc que ça mérite qu’on en parle un peu.
Le 03/01/2016 à 00h20
Des données publiques accessibles publiquement, par…le public. HL3 confirmed !
" />
Le 03/01/2016 à 19h00
Le 04/01/2016 à 08h12
Le 04/01/2016 à 08h37
Le 04/01/2016 à 09h23
Le 04/01/2016 à 12h53
Ce qui m’inquiète le plus avec ce genre de choses, c’est surtout l’usurpation d’identité. En France, on est plutôt bien lotis à devoir présenter une pièce d’identité pour retirer des billets de spectacle à la FNAC.
Au Royaume-Uni, quand tu vas voter, pour être sûr que c’est toi, on te demande juste de confirmer ton adresse… Je peux me faire passer pour un de mes potes les doigts dans le nez, si je veux ! Je ne sais pas comment ça se passe aux US, mais ça promet.
Imaginez si la BDD contient aussi le nom du premier animal de compagnie (ou pire, il ne me parait pas impossible de retrouver le nom de jeune fille de votre mère). Le genre de dégâts que ça peut faire est complètement délirant !
Le 04/01/2016 à 13h22
Le 04/01/2016 à 14h08
Grâce à toi, j’ai appris une belle tournure qui m’avait échappé jusque là.
Le 04/01/2016 à 14h13
Le 31/12/2015 à 16h42
Encore une base mongodb ouverte au monde entier ? XD
Le 31/12/2015 à 16h46
Le 31/12/2015 à 16h59
Oui je vois, tes explications sont correctes de ce que j’en sais aussi. Après, tu penses bien qu’ils ne se sont jamais gênés pour des initiatives internationales de surveillance d’une envergure colossale qui perdurent toujours malgré les interdictions/lois en vigueur…
" />
Et c’est plutôt le United State Cyber Command qui est sollicité me semble-t-il et de ce que j’en ai lu du fait du caractère militaire et ayant le droit sur TOUT ce qui concerne la cyberdéfense et les attaques informatiques.
Le 31/12/2015 à 17h08
MongoDB n’as pas vraiment la cote cette année
" /> MacKeeper, cette news, plus toutes les autres DB dispo sur internet laissées avec la config par défaut …
Le 01/01/2016 à 10h39
“De ce que nous avons vu, les informations d’électeurs dont il est question sont déjà accessibles publiquement dans chaque état, donc aucune nouvelle information ou donnée privée n’a été publiée dans cette base de données ».”
Si c’est vrai, où est le souci, alors ? C’est de l’opendata un peu poussé.
Le 01/01/2016 à 10h43
Le 01/01/2016 à 10h45
Le 01/01/2016 à 10h52
L’homme à la cigarette va devoir se séparer de la personne “responsable” qui a laissé fuité cette base ‘fantôme’ !
Mais ça fera un bon sujet pour la saison à venir, en 2016 ^^
Le 01/01/2016 à 15h38
Le 01/01/2016 à 17h59
191 millions, sur 320, en enlevant les enfants, c’est pratiquement tout les américains.
Le 01/01/2016 à 18h05
Le 01/01/2016 à 18h20
We’re talking about first name, middle name, last name, home address,
mailing address, phone number, date of birth, party affiliation, and
logs of whether or not you voted in primary/general elections all the
way back to 2000. I looked myself up in the Texas table. It’s accurate.
lol.
Le 02/01/2016 à 08h33
“les informations d’électeurs dont il est question sont déjà accessibles publiquement dans chaque état, donc aucune nouvelle information ou donnée privée n’a été publiée dans cette base de données”
Bon ben pas de quoi en faire un flanc, ce ne sont que des données publiques, les gens ont qu’à être moins cons et ne pas donner leurs infos.
Le 02/01/2016 à 11h07
Le 02/01/2016 à 17h12
C’est sûr, Laure Tograf est sur le flanc du crocodile
" />
Le 02/01/2016 à 20h29
Je vois pas l’utilité de la news étant donné que c’est un regroupement de données publiques (indiqué à la fin de l’article). Dans l’absolu je trouve normal que cette bdd soit ouverte à tous.
Le 31/12/2015 à 14h24
historique de participation aux dernières élections.
J’espère que cela n’indique pas pour qui ils ont voté, ce serait le bouquet…
Le 31/12/2015 à 14h28
Non ça c’est perdu d’avance, j’espère qu’ils n’ont pas voté.
" />
C’est plus sur en cas d’enquète des RH.
Désolé pour la démocratie, mais sachez que 66% des gens sont en mode secure…
Le 31/12/2015 à 14h29
Ils ont votéLa Tour de Carol !
Le 31/12/2015 à 14h34
J’ai cru comprendre que cette base de donnée contenait des données politiques (pour voter a certaines primaires aux US, il faut être adhérent au parti politique, cette inscription à un ou plusieurs partis serait notée dans la base de données).
Ca donne pas envie d’autoriser les machines à voter tout ça …
Le 31/12/2015 à 14h41
pages jaunes 2.0
Le 31/12/2015 à 14h42
Bien sur que si, ça permettrait d’automatiser le bouzin pour augmenter le taux de participation.
" />
Le 31/12/2015 à 14h48
2015 aura été une année mirifique pour les failles
" />
De bonnes résolutions pour l’année neuve?
Le 31/12/2015 à 14h53
Edit : …
Le 31/12/2015 à 14h56
Joli news pour finir l’année, la Saint Sylvestre va se passer douloureusement pour certains DBA je sens.
Le 31/12/2015 à 14h58
2016 seras pire.
Le 31/12/2015 à 15h16
Appliquer des rustines sur des jambes de bois ne sera d’aucune efficacité…. ce sont tous les protocoles qui sont à revoir…. conçus sur des préceptes datant des années 70 et 80, la sécurité n’en fait pas réellement partie…
Mission impossible ?
Volonté affirmée de laisser des trous pour que les plus forts continuent à espionner les plus faibles ou les moins préparés techniquement et intellectuellement ?
Rupture indispensable ?
Le 31/12/2015 à 15h20
Attendez !? Cette base est en accès libre et personne ne sait à qui elle appartient, donc la faille n’est pas corrigée car personne ne sait qui prévenir O_o ???
Le 31/12/2015 à 15h30
bien que la base de données ne nous appartienne pas, il est possible
que certaines des informations qu’elle contienne puissent provenir de
données que nous mettons à disposition gratuitement pendant
des campagnes
Donc en gros, si ça se trouve quelqu’un a juste agrégé des données de différentes sources pour ses besoins personnels et l’a mise en ligne en mode open-bar.
Si c’est ça, ce n’est pas une faille, juste de l’open-data sauvage non ?
Le 31/12/2015 à 15h34
En vrai, il n’y a pas vraiment de faille.
Service PublicLa c’est juste sous forme de base de donnée. Beaucoup de bruit pour pas grand chose en fait.
Ce n’est qu’une compilation de données deja accessibles publiquement.
Centraliser ces données est long, fastidieux, et coute donc de l’argent, mais certaines societés creent ces bases de données pour revendre des services aux partis politiques notamment pendant les campagnes presidentielles.
Il se trouve que l’une de ces bases est accessible gratuitement sur le net, alors que les entreprises specialisées monnayent d’habitude ce service.
Il n’y a aucune faille, tu ne sais pas pour qui les votants ont voté. C’est comme si tu souhaitais consulter les listes electorales en France, c’est librement accessible a n’importe quel élécteur: 
Le 31/12/2015 à 15h35
Bah ça serait à la NSA de trouver le/les auteur(s), de remonter à la source, et de “fermer” les vannes. Après tout il est question de sécurité nationale…
" />
Le 31/12/2015 à 15h57
Le 31/12/2015 à 15h59
2e actu en 2 jours basé sur des rumeurs ou avec un manque flagrant d’infos vérifiées à se mettre sous la dent (après Orabge/Bouygues).
" />
Et si, en cette période creuse, on se contentait des bêtisiers, et qu’on reprenait l’info sérieuse, vérifiée et sourcée en 2016 ?
(ma résolution : être moins ronchon, promis, je tiendrai pas)
Le 31/12/2015 à 16h21
Selon le darkweb, il s’agirait de ce serveur: https://www.shodan.io/host/52.0.220.221
Inutile d’essayer de se connecter: le serveur MongoDB ne répond plus. Inutile aussi d’essayer à rechercher les données, ceux qui ont trouvé le problème n’auraient pas eu le temps de dumper l’ensemble de la DB.
Le 31/12/2015 à 16h25
Oui tu as raison, je m’en suis aperçu trop tard, je ne pouvais plus éditer. Mais c’est vrai, ce serait plutôt le travail du FBI dans ce genre d’incident. Un peu comme DGSI et DGSE en France, chacun à un rôle précis. Mais bon la NSA c’est quand même l’Agence Nationale de Sécurité, et là c’est clairement la sécurité des données des Américains qui est en jeu. Devrait y avoir un boulot conjoint, j’imagine qu’ils sont déjà dessus.
" />