Nous joindre par : 0899274448*
RGPD

ASKIP… arrait, c’est le mois du RGPD

RGPD, fuite de données, le Règlement Général sur la Protection des Données protège dorénavant nos vies privées. A première vue, il y a encore du boulot ! Exemple avec l’application ASKIP, une appli qui permet de recevoir des messages anonymes, mais qui diffuse les photos de ses utilisateurs via un cloud mal configuré.

RGPD et applications pour mobile ! L’application ASKIP est un logiciel que les adolescents installent dans leur smartphone. Elle annonce permettre le partage de son lien sur Snap, Instagram afin de recevoir des messages anonymes. Bilan, les adolescents, s’écrivent directement dans l’application. Il est possible de créer une story et de la commenter. Bref, jusqu’ici rien de bien méchant. Après avoir posé la question à une dizaine d’ados, dont mes filles, l’appli sert surtout à briser soit sa timidité … ou à se défouler en mode “j’insulte tout le monde en anonyme“. Bref, avec le RGPD, l’application est obligée de réclamer le consentement des parents pour que leurs mômes de moins de 16 ans puissent y participer. Seulement, le problème est ailleurs.

Fuite de données… par omission !

ASKIP ne protège pas intégralement les données de ses utilisateurs. D’autant que la grande majorité sont des mineurs. J’ai pu constater que certaines informations étaient loguées et sauvegardées, comme les photos. Des logs qui fuitent sur la toile.

Comment ? ASKIP passe par le cloud Amazon S3. L’espace pas configuré correctement. Le cloud en question crache des milliers de logs d’utilisateurs qui sont accessibles via les moteurs de recherche Qwant et Google. C’est un papa qui m’a alerté en premier “Je voulais comprendre le contexte de cette application quand j’ai découvert que ma fille l’utilisait et que des inconnus (c’est le principe) lui demandaient des photos diverses et variées (un peu trop variées lol).

Les moteurs de recherche cracheurs de feu

Dans ces logs, les données images. Ils permettent de voir apparaitre l’utilisateur et le document qu’il a diffusé. La plupart du temps, sa tête. Comme le précise Amazon S3 sur son site, “de nos jours, les entreprises doivent être en mesure de collecter, de stocker et d’analyser leurs données à grande échelle de façon simple et sécurisée“. Je crois qu’il y a encore quelques efforts concernant ce dernier point.

Deux mails d’alerte. Le premier, sans réponse. Le second, avec une réponse particuliére : “Ntm, cordialement“. Étant amateur de rap, de JoeyStarr et Kool Shen, je présume que mon interlocuteur apprécie aussi le son des années 90. Contacté par Twitter, une “personne” via le compte ASKIP a précisé que le mail “contact” d’ASKIP avait été piraté ! Bref, un sacré “bordel” !

Enfin, une étude de Pradéo rappelle que 83% des organisations externalisent le développement de leurs applications mobiles ; 67% des applications mobiles manipulent les données des utilisateurs ; 25% des entreprises ne sécurisent pas leurs applications.

Pour conclure, la CNIL a été alertée.

Au sujet de l'auteur
Damien Bancal - Fondateur de ZATAZ.COM Journaliste (damienbancal.fr) Travaille sur les sujets cybercriminalité/cybersécurité depuis 1992 ; Officie/a officié pour Europe 2, 01net, Micro Hebdo, La Voix du Nord, Tilt, Entrevue, l’Écho des Savanes, Le Canard Enchaîné, France 3, Nord'way, Programmez ... Premier article en 1989 dans le mensuel "Amstar & CPC" ; Auteurs/coauteurs de 8 livres : "Pirates & hackers sur Internet" (Ed. Desmaret) ; "Hacker, le 5ème pouvoir" (Ed. Maxima) ; Ethical Hacking (Ed. ENI) ; "Tout pour maîtriser votre PC et Internet" (Ed. Que Choisir) ... Intervenant pour la Licence professionnelle Collaborateur pour la Défense et l'Anti-Intrusion des Systèmes Informatiques (CDAISI) IUT de Maubeuge ; Master Cyberdéfense Université de Valenciennes ; Commandant Réserviste Cyberdéfense Gendarmerie Nationale (RCC) ; Reserviste de l'Education Nationale ; Chroniqueur pour WEO TV et France Bleu Nord.

Articles connexes

Laisser un commentaire

*

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.