ASKIP… arrait, c’est le mois du RGPD

RGPD, fuite de données, le Règlement Général sur la Protection des Données protège dorénavant nos vies privées. A première vue, il y a encore du boulot ! Exemple avec l’application ASKIP, une appli qui permet de recevoir des messages anonymes, mais qui diffuse les photos de ses utilisateurs via un cloud mal configuré.

RGPD et applications pour mobile ! L’application ASKIP est un logiciel que les adolescents installent dans leur smartphone. Elle annonce permettre le partage de son lien sur Snap, Instagram afin de recevoir des messages anonymes. Bilan, les adolescents, s’écrivent directement dans l’application. Il est possible de créer une story et de la commenter. Bref, jusqu’ici rien de bien méchant. Après avoir posé la question à une dizaine d’ados, dont mes filles, l’appli sert surtout à briser soit sa timidité … ou à se défouler en mode « j’insulte tout le monde en anonyme« . Bref, avec le RGPD, l’application est obligée de réclamer le consentement des parents pour que leurs mômes de moins de 16 ans puissent y participer. Seulement, le problème est ailleurs.

Fuite de données… par omission !

ASKIP ne protège pas intégralement les données de ses utilisateurs. D’autant que la grande majorité sont des mineurs. J’ai pu constater que certaines informations étaient loguées et sauvegardées, comme les photos. Des logs qui fuitent sur la toile.

Comment ? ASKIP passe par le cloud Amazon S3. L’espace pas configuré correctement. Le cloud en question crache des milliers de logs d’utilisateurs qui sont accessibles via les moteurs de recherche Qwant et Google. C’est un papa qui m’a alerté en premier « Je voulais comprendre le contexte de cette application quand j’ai découvert que ma fille l’utilisait et que des inconnus (c’est le principe) lui demandaient des photos diverses et variées (un peu trop variées lol).« 

Les moteurs de recherche cracheurs de feu

Dans ces logs, les données images. Ils permettent de voir apparaitre l’utilisateur et le document qu’il a diffusé. La plupart du temps, sa tête. Comme le précise Amazon S3 sur son site, « de nos jours, les entreprises doivent être en mesure de collecter, de stocker et d’analyser leurs données à grande échelle de façon simple et sécurisée« . Je crois qu’il y a encore quelques efforts concernant ce dernier point.

Deux mails d’alerte. Le premier, sans réponse. Le second, avec une réponse particuliére : « Ntm, cordialement« . Étant amateur de rap, de JoeyStarr et Kool Shen, je présume que mon interlocuteur apprécie aussi le son des années 90. Contacté par Twitter, une « personne » via le compte ASKIP a précisé que le mail « contact » d’ASKIP avait été piraté ! Bref, un sacré « bordel » !

L'application @askip_app vient d'annoncer le piratage de sa boite mail ! Espérons que cela ne soit pas un pirate derrière le compte twitter ! #cybersecurite pic.twitter.com/QZ8yzuEc7t

— Damien Bancal (@Damien_Bancal) May 24, 2018

Enfin, une étude de Pradéo rappelle que 83% des organisations externalisent le développement de leurs applications mobiles ; 67% des applications mobiles manipulent les données des utilisateurs ; 25% des entreprises ne sécurisent pas leurs applications.

Pour conclure, la CNIL a été alertée.