27 millions d'enregistrements exposés lors d'une violation de Microsoft Power Pages

Une exposition massive liée à des portails mal configurés

Une nouvelle enquête a révélé que des pirates ont peut-être accédé à pas moins de 27 millions d'enregistrements provenant de 13 organisations en exploitant des portails Microsoft Power Pages exposés et les données Dataverse qui y sont connectées. L'incident, rapporté par Cybernews, met en lumière comment une plateforme low-code largement utilisée pour créer des sites web orientés clients peut devenir un sérieux risque lorsque les contrôles d'accès ne sont pas configurés correctement.

Microsoft Power Pages permet aux entreprises et aux organismes gouvernementaux de créer rapidement des sites web externes, comme des portails clients, des formulaires de candidature ou des tableaux de bord en libre-service, sans écrire de code personnalisé étendu. Ces portails puisent généralement leurs données directement dans Dataverse, le service de stockage de données sous-jacent de Microsoft qui contient souvent des informations sensibles telles que des dossiers clients, des candidatures ou des données commerciales internes. Lorsque les autorisations sur ces portails ne sont pas correctement verrouillées, cette connexion entre un site web public et un stockage de données privé peut se transformer en porte ouverte.

Comment une fonctionnalité pratique devient un risque

L'attrait de Power Pages est exactement ce qui le rend risqué s'il n'est pas surveillé : il est conçu pour la rapidité et l'accessibilité. Les organisations peuvent lancer un portail web fonctionnel en une fraction du temps qu'il faudrait pour en construire un de zéro, mais cette rapidité peut se faire au détriment d'une revue de sécurité approfondie. Si les autorisations d'accès aux tables, listes ou formulaires d'un site Power Pages sont définies trop largement, des visiteurs non authentifiés, ou des attaquants analysant des points d'accès exposés, peuvent être en mesure d'interroger et d'extraire des données qui n'étaient jamais destinées à être publiques.

C'est un schéma familier dans les incidents logiciels d'entreprise. Les attaquants n'ont pas toujours besoin de pénétrer directement dans un réseau ou d'exploiter une vulnérabilité inédite ; parfois, ils trouvent simplement des systèmes qui n'ont jamais été correctement sécurisés en premier lieu. Le résultat peut être tout aussi dommageable qu'une violation traditionnelle, même si aucune technique de piratage complexe n'a été impliquée. La violation de données chez Estée Lauder liée à l'exploitation d'Oracle EBS est un autre exemple de la façon dont des vulnérabilités ou des erreurs de configuration dans des plateformes d'entreprise, plutôt que des attaques sophistiquées et inédites, peuvent conduire à une exposition de données à grande échelle. Dans les deux cas, le logiciel sous-jacent n'était pas nécessairement défectueux, mais la manière dont il a été déployé ou sécurisé a créé l'ouverture dont les attaquants avaient besoin.

Pourquoi l'échelle et la confiance sont les véritables préoccupations

Ce qui rend cette violation de Microsoft Power Pages notable, ce n'est pas un piratage spectaculaire unique, c'est l'échelle : 27 millions d'enregistrements répartis sur 13 organisations différentes. Cette ampleur suggère un problème systémique dans la façon dont de nombreuses organisations configurent leurs déploiements Power Pages, plutôt qu'une erreur isolée d'une seule entreprise. Lorsqu'une plateforme est utilisée par des milliers d'entreprises et d'organismes gouvernementaux, même un faible pourcentage d'instances mal configurées peut représenter des millions d'enregistrements exposés.

Pour les organisations concernées, ce type d'exposition érode la confiance que les clients et les citoyens placent en elles lorsqu'ils soumettent des informations personnelles via des portails officiels. Pour les utilisateurs quotidiens, le risque concerne moins un incident unique que le fait que les données sensibles soumises via des canaux apparemment officiels ne sont pas garanties d'être protégées simplement parce qu'elles se trouvent sur l'infrastructure d'une entreprise réputée. La sécurité dépend fortement de la manière dont chaque organisation configure les outils sur lesquels elle s'appuie, et pas seulement de la réputation du fournisseur de plateforme.

Ce que cela signifie pour vous

Si vous avez soumis des informations via un portail commercial ou gouvernemental construit sur Microsoft Power Pages, il n'existe actuellement aucun moyen de savoir de l'extérieur si vos données spécifiques faisaient partie des enregistrements exposés. La responsabilité de sécuriser ces données incombe aux organisations qui gèrent ces portails, et non aux utilisateurs individuels. Cela dit, cet incident est un bon rappel pour rester vigilant quant à la manière dont vos informations personnelles sont collectées et stockées en ligne, et pour surveiller les notifications de violation provenant des services que vous utilisez.

Les organisations qui utilisent Power Pages ou des plateformes low-code similaires devraient considérer cela comme un signal d'alarme pour auditer leurs autorisations d'accès, la sécurité au niveau des tables et les formulaires publics. Un examen rapide de qui peut interroger quelles données, et si l'authentification est correctement appliquée, peut empêcher ce type d'exposition avant qu'elle ne se produise.

Points à retenir concrets

• Si vous avez interagi avec un portail construit sur Microsoft Power Pages, surveillez les notifications de violation provenant de cette organisation.
• Utilisez des mots de passe uniques et activez l'authentification multifacteur partout où des comptes liés à des données personnelles sensibles sont impliqués.
• Soyez prudent quant à la quantité d'informations personnelles que vous soumettez via des formulaires en ligne, même ceux qui semblent officiels.
• Si vous gérez un déploiement Power Pages, vérifiez immédiatement les autorisations des tables, les paramètres d'authentification du portail et les contrôles d'accès Dataverse.

La violation de Microsoft Power Pages est un signal clair que les plateformes axées sur la commodité nécessitent autant de vigilance en matière de sécurité que les systèmes traditionnels développés sur mesure. Alors que de plus en plus d'organisations adoptent des outils low-code pour aller plus vite, garantir une configuration correcte sera essentiel pour protéger les données qui se trouvent derrière eux.