“Chez les cow-boys du Web, on vérifie l’identité… ou on laisse la porte du saloon grande ouverte !” Si vous pensiez que les hôtels japonais étaient irréprochables en matière de respect de la vie privée, détrompez-vous : même au pays du Soleil Levant, l’ombre des cyber-boulets n’est jamais bien loin. Cette fois, c’est le système de check-in Tabiq, développé par la startup tokyoïte Reqrea, qui a offert un petit cadeau surprise : plus d’un million de passeports et de permis de conduire disponibles… comme menu à la carte sur le web pour toute la planète. Méfiez-vous de ceux qui vous demandent de sourire devant la caméra, on ne sait jamais qui regardera la photo !
Si vous aimez collectionner les selfies non consentis ou que vous rêvez d’un album photo de pièces d’identité internationales, vous êtes malheureusement arrivé trop tard. À la suite d’une alerte de TechCrunch et du chercheur en sécurité Anurag Sen (décidément, plus rapide que Lucky Luke), la société a refermé la porte du (mauvais) cloud. Mais tout de même : pour visualiser ces trésors, il suffisait de connaître le nom du seau de stockage Amazon (baptisé “tabiq”). Même pas besoin de casser du code ou de lancer un sort mystérieux !
La bévue a été stoppée net lorsque TechCrunch et l’équipe japonaise JPCERT ont sonné le tocsin. Mais une seule question nous titille (en plus du nez devant tant de fiascos) : comment, en 2024, peut-on encore laisser en libre accès ces précieuses données alors que les géants du cloud multiplient les avertissements façon grand-mère inquiète ? Eh oui, la plupart des fuites aujourd’hui ne sont même plus le fait de génies du piratage, mais simplement de maladresses numériques dignes d’une sitcom.
La plus grande vulnérabilité d’un système reste souvent l’humain… surtout s’il aime partager sans compter !
Reqrea a juré, la main sur le cœur et l’autre sur le cloud, lancer une enquête, aidée d’experts juridiques et informatiques. Le directeur, Masataka Hashimoto, est catégorique : ils ne savent pas précisément comment ce “saut de foi” en matière de sécurité a pu arriver. Amazon, pour sa part, assure avoir multiplié les obstacles pour éviter ce genre de bavure, alors mystère et boule de gomme : maladresse ou réglage hasardeux resté inaperçu ? Certains fichiers étaient disponibles depuis 2020… on espère que personne d’autre qu’Anurag Sen n’a profité de cette aubaine, mais les vérifications sont toujours en cours, car même les cow-boys du numérique savent relire les journaux (de logs).
Petit détail qui affole un peu plus la situation : la base avait été répertoriée par GrayHatWarfare, un moteur de recherche spécialisé dans la traque des “bennes” publiques de données. En clair, une piñata numérique géante, tapie dans le cloud, à la disposition de tous les curieux. Et ce n’est pas là une première : du service de transfert d’argent canadien Duc App au loueur de voitures Hertz, tout le monde a déjà trébuché sur la gant du cyber embarras en exposant des documents d’identité à tour de bras.
À l’heure où les États veulent nous faire prouver notre âge pour acheter un paquet de chips ou louer un vélo, et où chaque entreprise se lance dans le marathon du “Know Your Customer”, faire confiance à un processeur anonyme sur Internet devient un vrai numéro d’équilibriste. Alors avant d’envoyer la photo de votre permis à votre hôtel, réfléchissez : la cybersécurité n’est (toujours) pas un long fleuve tranquille, peu importe le pays ou le secteur.
Encore une histoire qui rappelle que dans l’hôtellerie comme dans le numérique, la meilleure chambre reste celle dont on a la clé… (et surtout, le coffre-fort bien verrouillé !)
Source : Techcrunch
