Actualités

VPNs : des “no-log”s laissant transpirer une fuite de données estimée à 1,207 To !

Voilà de quoi refaire le tour de la question sécuritaire concernant la pseudo-anonymisation des données ou trafic-utilisateur, concernant les VPNs (“Réseau Privé Virtuel“) : le groupe Hongkongais Dreamfii HK Limited essuie une vulnérabilité au sein de l’ensemble de ses services VPNs dédiés, compromettant, au total, pas moins de 1,207 To de données…

 

 

C’est en tout cas ce que révèle Comparitech, dans un billet datant du 15 Juillet dernier, ainsi que VPNMentor, depuis le 16 Juillet dernier : les deux équipées sécuritaires soulignent une intrusion sécuritaire, depuis le 1er Juillet 2020, dans les serveurs du groupe qui affirmait, pourtant, qu’aucun log ou identifiant n’était conservé. Force est de constater, malheureusement, que le discours détonne avec la réalité.

Les mises en lumière de Bob Diachenko (Comparitech) ont, pour leur part, fait état de 894 Go de données ainsi fuité. Cela comprenait :

 

  • Identifiants avec mots de passe en clair,
  • Sessions privées, secrètes et tokens,
  • Adresses IPs : terminaux des utilisateurs et historique des serveurs VPNs usités,
  • Temps de connexion,
  • Géolocalisation par tag, mot-clé,
  • Caractéristiques des systèmes, terminaux et,
  • URLs pour le ciblage ou tracking publicitaire.

 

Nous ne suivons pas les activités des utilisateurs en dehors de notre site, ni la navigation sur le site Web ou les activités de connexion des utilisateurs qui utilisent nos services“, est-il pourtant annoté dans la politique de confidentialité d’UFO VPN, comme le souligne l’équipe sécuritaire qui, depuis fin Juin, avait observé cette vulnérabilité à ses débuts. Une première rustine avait pourtant, selon la bonne foi d’UFO VPN au 15 Juillet dernier, été appliqué. Apparemment, cela n’a pas suffit ou n’a pas été suffisamment pris au sérieux puisqu’une seconde attaque, depuis hier le 20 Juillet, a été opéré.

 

Des constats corroborés par VPNMentor qui affirme une amplitude de cette attaque bien plus vaste : en effet, la faille serait à envisager à l’ensemble du groupe Dreamfii HK Limited gérant UFO VPN et ses autres filiales, services (FAST VPN, Free VPN, Super VPN, Flash VPN, Secure VPN, et Rabbit VPN). Ainsi, 20 millions d’utilisateurs seraient concernés pour une ex-filtration potentielle maximale de données de l’ordre de 1,207 To.

Mis à part ce léger détail, les deux équipées sécuritaires tombent d’accord sur le reste : cette faille prend son sein du fait d’un cluster instable issu d’ElasticSearch. Il aura donc suffit d’un simple cluster pour accéder à l’ensemble des données de ces VPNs… gloups !

Passé ce cap, les finalités sont nombreuses : une mise à nue des informations permettent de voir des informations sensibles (bancaires, notamment, comme les moyens de paiement enregistrés), des messages envoyés au support… une manne pour ceux et celles voulant effectuer des campagnes de phishing (hameçonnage) et / ou utiliser ses données pour les retourner contre l’utilisateur, notamment si ce dernier utilise un tel service pour éviter que l’on voie l’ensemble de son trafic sur l’Internet sur des sites douteux ou répréhensibles.

UFO VPN relativise, sous couvert du COVID-19 et confirme que la fuite de données est écartée : “en raison des changements de personnel causés par COVID-19, nous n’avons pas trouvé de bogues dans les règles de pare-feu du serveur immédiatement, ce qui a pu conduire à un risque potentiel de piratage. Et, désormais, cela a été corrigé“. Dans le doute et de manière pragmatique, il est fortement conseillé à l’ensemble des utilisateurs de l’un des services de VPN, cités un peu plus en haut, de procéder sans plus attendre à un changement de leur mot de passe.

Outre cette brèche se pose une question légitime : un VPN garantit-il réellement et techniquement une anonymisation de la donnée ?… A veiller !

 

Sources :

 

 




  • 50% J'apprécieVS
    50% Je n'apprécie pas
    Pas de commentaire

    Laisser un commentaire

    ;) :zzz: :youpi: :yes: :xmas: :wink: :whistle: :warning: :twisted: :sw: :sleep: :sg1: :schwarzy: :sarko: :sante: :rollol: :roll: :rip: :pt1cable: :popcorn: :pff: :patapai: :paf: :p :ouch: :oops: :o :non: :na: :mrgreen: :mdr: :macron: :love: :lol: :kissou: :kaola: :jesuisdehors: :jap: :ilovesos: :idea: :houra: :hello: :heink: :grumpy: :fume: :frenchy: :fouet: :fouet2: :first: :fessee: :evil: :dispute: :demon: :cryy: :cry: :cpignon: :cool: :cassepc: :capello: :calin: :bug: :boxe: :bounce: :bluesbro: :bisou: :babyyoda: :assassin: :arrow: :annif: :ange: :amen: :D :??: :?: :/ :-| :-x :-o :-P :-D :-? :-1: :+1: :) :( 8-O 8)

    Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

    Copyright © Association SOSOrdi.net 1998-2020