Le coupable silencieux derrière la plupart des expositions de données

Quand les gens imaginent une fuite de données, ils se représentent généralement un pirate à capuche franchissant des pare-feu ou déployant un ransomware contre un réseau d’entreprise. Mais d’après de récentes recherches en sécurité relayées par TechRadar, la plus grande source de données personnelles exposées n’est pas un criminel sophistiqué. C’est une base de données mal configurée, laissée ouverte sur Internet par l’organisation même censée la protéger.

L’ampleur du problème n’est pas nouvelle, mais elle reste stupéfiante. Fin 2015, le chercheur en sécurité Chris Vickery a découvert une base de données contenant les informations personnelles de 191 millions d’électeurs, un trésor de 300 Go accessible publiquement, sans mot de passe ni authentification requis. Personne ne s’est introduit. Aucun malware n’a été utilisé. Quelqu’un a simplement mis en place une base de données sans les contrôles d’accès appropriés, et elle est restée exposée pour quiconque savait où chercher.

Cet incident d’il y a dix ans illustre un phénomène qui, selon les chercheurs en sécurité, n’a jamais vraiment disparu : les bases de données mal configurées restent la première menace pour la sécurité des données, dépassant souvent les incidents de piratage classiques en volume pur d’enregistrements exposés.

Pourquoi la mauvaise configuration surpasse le piratage comme menace

Il peut sembler contre-intuitif qu’une simple erreur de configuration expose plus de données que des cyberattaques délibérées, mais le calcul se comprend dès qu’on saisit le fonctionnement des infrastructures modernes de données. Les entreprises et les agences gouvernementales s’appuient de plus en plus sur des bases de données cloud et des buckets de stockage pour gérer d’énormes quantités d’informations. Créer une nouvelle base de données prend quelques minutes. La configurer correctement, avec l’authentification appropriée, des restrictions réseau et le chiffrement, demande plus de temps et d’expertise, et c’est cette étape qui est souvent sautée ou bâclée.

Contrairement à un piratage ciblé, qui exige généralement des efforts, des compétences techniques et un plan pour attaquer une cible spécifique, une base de données mal configurée reste souvent là, indexée par les moteurs de recherche ou les outils d’analyse, attendant d’être découverte. Les chercheurs en sécurité, les journalistes et, oui, les acteurs malveillants recherchent régulièrement ces bases de données ouvertes parce qu’ils n’ont pas besoin de contourner une défense. La porte est restée grande ouverte.

Cela ne signifie pas que les violations traditionnelles et les attaques par ransomware ne sont pas des menaces sérieuses. Des incidents comme l’attaque ransomware Spirals contre une entreprise informatique asiatique montrent que des acteurs déterminés continuent de rançonner des organisations par des intrusions ciblées. Et des allégations telles que le vol présumé du code source d’Accenture par le pirate « 888 » démontrent que le vol délibéré de données sensibles d’entreprise reste une préoccupation active. Mais en termes de volume brut, l’exposition silencieuse et accidentelle causée par une base de données mal sécurisée éclipse souvent ce qu’une campagne de piratage unique peut accomplir.

Les VPN et le chiffrement ne sont pas une solution complète

Pour les lecteurs qui utilisent un VPN pour protéger leur activité en ligne, il est important de comprendre une vérité difficile : un VPN protège votre connexion à Internet, pas les bases de données dans lesquelles les entreprises stockent vos informations une fois que vous les leur avez confiées. Si une entreprise à qui vous avez donné votre adresse e-mail, votre numéro de téléphone ou vos coordonnées de paiement configure mal ses systèmes internes, aucun chiffrement personnel de votre côté n’empêchera l’exposition de ces données.

C’est pourquoi les violations impliquant des données personnelles stockées, comme les incidents touchant les participants prestigieux du Tribeca Film Festival ou la résurgence de la fuite Suno exposant 55 millions d’e-mails et des données Stripe, comptent autant. Ces incidents montrent qu’une fois que vos données quittent votre appareil et entrent dans la base de données d’une entreprise, votre vie privée dépend entièrement des pratiques de sécurité de cette organisation, et non de vos propres outils.

Ce que cela signifie pour vous

En tant que consommateur, vous ne pouvez pas auditer personnellement les configurations de base de données de chaque service que vous utilisez, mais vous pouvez faire des choix plus éclairés. Recherchez des entreprises transparentes sur leurs pratiques de sécurité, qui ont un historique de divulgation rapide des failles et qui utilisent le chiffrement des données au repos, et pas seulement en transit. Renseignez-vous pour savoir si un service minimise les données personnelles qu’il collecte en premier lieu. Moins une entreprise conserve d’informations sensibles, moins une base de données mal configurée peut causer de dégâts si elle est exposée.

Il est également bon de rappeler que les bases de données mal configurées touchent des organisations de toutes tailles, des petites startups aux bases de données électorales nationales. Ce n’est pas un problème limité aux entreprises disposant d’un faible budget de sécurité ; c’est un problème systémique lié à la rapidité avec laquelle l’infrastructure cloud est déployée par rapport au soin apporté à sa sécurisation.

Points d’action concrets

  • Utilisez des mots de passe uniques et activez l’authentification multifacteur partout où c’est possible, afin qu’une seule base de données exposée ne compromette pas plusieurs comptes.
  • Surveillez les notifications de fuite et envisagez d’utiliser des services de suivi des violations pour savoir quand vos données ont été exposées.
  • Privilégiez les services qui publient des politiques claires de conservation des données et de sécurité, et qui minimisent les informations personnelles qu’ils collectent.
  • Rappelez-vous qu’un VPN protège votre trafic, pas les bases de données qui hébergent vos informations stockées ; la protection des données exige une approche en couches.

Les bases de données mal configurées resteront probablement la première cause d’exposition de données à grande échelle dans un avenir proche, simplement parce que le rythme d’adoption du cloud continue de dépasser celui d’une configuration prudente. Rester informé sur la manière et l’endroit où vos données sont stockées, et exiger des comptes de la part des services que vous utilisez, reste l’un des moyens les plus pratiques de réduire votre risque personnel.