Nom, téléphone, mail... : plus de 4 milliards de données personnelles potentiellement dans la nature

Facebook, Twitter, LinkedIn… Les plus gros pourvoyeurs d’internautes ont dû avoir quelques suées en octobre dernier lorsque deux chercheurs en informatique, Bob Diachenko et Vinny Troia, ont découvert une faille dans un serveur contenant quelque quatre milliards de données utilisateurs. L’une des plus grandes fuites de données depuis une seule et même source dans l’histoire du web. 

N’importe qui pouvait ainsi récupérer les nom, prénom, adresse(s) e-mail, numéro(s) de téléphone ainsi que les informations de profil LinkedIn ou encore Facebook de plus de 1,2 milliard de personnes. En revanche, aucun identifiant ou mot de passe, ni coordonnées bancaires ou documents sensibles n’y figuraient.

Dans un article, Diachenko et Troia expliquent que la base de données n’était pas protégée et donc accessible par n’importe qui depuis une simple URL, sans identifiant ni mot de passe. Mais les deux chercheurs ont avant tout été étonnés par le fait qu’autant de données soient stockées dans un seul et même endroit, un serveur Google Cloud (pour l’équivalent de 4 To de données !). Il s’agirait d’une compilation qu’exploiterait deux sociétés d’enrichissement de données, People Data Labs et Oxydata. 

Ces deux entreprises ont pour métier de récupérer des données personnelles publiques afin de les revendre par la suite à des sociétés qui font du ciblage, publicitaire ou par caractéristiques. Car les informations stockées peuvent également avoir trait à des orientations religieuses ou politiques, la taille de votre ménage, vos activités sociales ou le montant de vos revenus. Toutes les informations qui se retrouvent en ligne via des sondages, des profils sur les réseaux sociaux, etc.

People Data Labs se vante de toucher plus de 1,5 milliard de personnes uniques, dont 260 millions aux Etats-Unis, mais aussi des utilisateurs au Royaume-Uni et au Canada. De son côté, Oxydata avance sa capacité à fournir des informations sur 380 millions de profils, essentiellement depuis LinkedIn, préviennent les deux chercheurs. Mais il est difficile de savoir comment toutes ces données ont pu être collectées. Une fois qu’un client s’inscrivait sur Oxydata ou People Data Labs, il pouvait aisément aspirer des millions de données, les compléter et les stocker où il voulait. Aucune des deux entreprises n'a cependant confirmé être propriétaire du serveur. Quoi qu'il en soit, la faille a été signalée au FBI qui a rapidement fait couper le serveur en question, explique Troia au magazine Wired.

Si vous êtes utilisateurs de LinkedIn, Twitter ou encore Facebook, vous êtes potentiellement concernés par cette fuite de données publiques. Pas d’inquiétude cependant : en l’absence de mot de passe lié à votre fiche, un pirate éventuel ne pourra pas se connecter à vos comptes internet. Pas plus qu’il ne pourra réaliser d’achat à votre insu car aucune information bancaire n’était disponible.

En revanche, si vos mails, numéros de téléphone ou adresses postales sont dans la nature, vous pourrez être la cible de spam, de tentative de phishing ou de courriers publicitaires dans votre boîte à lettres.