De (trop) nombreuses failles et fuites durant l’été

Les pirates, « bugs » et autres problèmes techniques n'ont pas pris de congés et ont continué de sévir, avec des conséquences plus ou moins importantes. Plutôt que de diluer ces problèmes dans de nombreuses entrées, nous avons décidé de regrouper les principales brèches afin de vous donner un ordre d'idée de ce qui se passe en l'espace de deux mois seulement… et il y a de quoi prendre peur. 

Le plus gros drame de l'été s'est certainement déroulé chez Biostar 2. Des chercheurs ont accédé à une base de données de 23 Go comprenant 27,8 millions d'entrées. Dans le lot, des données de reconnaissance faciale et des empreintes de plus d'un million de personnes. Contrairement à un mot de passe, il n'est pas possible de changer d'empreintes ou de tête…

Tencent a identifiée une faille dans des puces Qualcomm permettant de prendre le contrôle d'un appareil à distance. Elle est affublée du nom QualPwn et concerne une large variété de SoC, allant des Qualcomm 215 aux Snapdragon 855 (la liste est disponible par ici). Le bulletin de sécurité d'Android du mois d'août bouche ces failles… encore faut-il pouvoir en profiter sur son terminal. 

Continuons avec KNOB (Key Negotiation of Bluetooth), une faille dans le protocole du Bluetooth (et pas son implémentation). Les chercheurs ont pu lancer leur attaque sur pas moins de 17 puces Bluetooth différentes. Les fabricants ont été prévenus fin 2018 et des correctifs ont déjà été déployés par les gros fabricants comme Apple, Google, Intel et Microsoft. 

Valve a été le parfait exemple de ce qu'il ne faut pas faire en matière de cybersécurité. Pour résumer grossièrement, le chercheur Vasily Kravets a signalé une faille sur HackerOne, qui n'en était en fait pas une selon Valve. Le chercheur a alors voulu dévoiler les détails, mais un membre de HackerOne lui a interdit de le faire, même si aucun correctif n'était en route, puis il a été banni de la plateforme. Il a ensuite trouvé une seconde faille dont il a publié des détails (pas sur HackerOne évidemment). Valve a ensuite fait machine arrière, reconnu son erreur et enfin déployé des correctifs.

De son côté, l'E3 a laissé filer un fichier contenant des détails personnels de 2 000 journalistes et influenceurs. La banque américaine Capital One n'est pas en reste car elle s'est fait dérober des données personnelles sur 100 millions d'utilisateurs. Toujours du côté des banques, Monzo a laissé accessible pendant six mois des données bancaires de près de 500 000 clients. La routine ou presque...

Twitter aussi s'est emmêlé les pinceaux et a pu transférer des données à des tiers alors que vous n'aviez pas donné votre accord. Epitech aussi a été confrontée à des fuites de données (élèves, enseignants et personnels administratifs) par un compte dénommé Epitek Reveal. Un ancien étudiant de l'école a publié sa vision des faits sur GitHub. 

Par deux fois, Google a laissé sur le Play Store une application malveillante intégrant un logiciel espion open source baptisé AhMyth. Pour Eset qui a découvert le pot aux roses, c'est un sérieux avertissement à Google qui doit renforcer ses protections.

Facebook n'a pas respecté sa promesse de ne laisser les enfants dialoguer qu'avec des personnes expressément autorisées par les parents dans Messenger Kids. En cause, un vilain défaut de conception : dans une conversation de groupe, n'importe quel utilisateur pouvait inviter des personnes qui avaient été approuvées par ses parents, mais pas par les parents des autres membres du groupe.

C'est presque devenu banal : une plateforme d'échange de cryptomonnaie (Bitpoin) s'est fait dérober 32 millions de dollars dans diverses devises, dont ripple et bitcoin. Dans ProFTPD, une faille permettait à un utilisateur authentifié d'écrire des données dans des répertoires où il n'était pas censé pouvoir le faire. 

Pour terminer, ce genre de mésaventures débouche aussi sur des sanctions. C'est le cas d'Equifax qui a trouvé un accord à 575 millions de dollars avec la FTC pour ses déboires de 2017. La société avait laissé fuiter des données de près de 150 millions d'utilisateurs, dont des permis de conduire et des cartes d'identité.