MacKeeper : diffusion en clair pour les données personnelles

Assigné en justice aux États-Unis pour les pratiques commerciales associées à l’exploitation de son logiciel MacKeeper, ZeoBIT a connu un autre souci cette semaine : un défaut de protection des données personnelles de ses clients.

L’alerte avait été lancée lundi sur reddit par le dénommé Chris Vickery.

Sous le pseudo « FoundTheStuff », ce chercheur en sécurité avait expliqué, capture d’écran à l’appui, avoir pu accéder à une base MongoDB contenant des informations sensibles liées à 13 millions de comptes. Essentiellement des utilisateurs de MacKeeper*, mais aussi d’autres solutions développées par ZeoBIT et sa maison mère Kromtech – basée en Allemagne.

Noms, numéros de téléphone, adresses e-mail, IP publiques, informations de licence, historique des produits achetés… Autant d’éléments accessibles tels quels, sur le Web, en clair, sans aucun mot de passe.

Chris Vickery a délibérément entretenu le flou aussi longtemps que la base de données en question n’avait pas été sécurisée.

Plus de 24 heures se sont écoulées entre sa publication sur reddit et la réaction de Kromtech, resté injoignable entretemps.

Mardi dans la journée, l’éditeur lui confirme que l’incident est clos. Mais dans la foulée, le chercheur découvre trois adresses IP supplémentaires sur lesquelles des informations restent accessibles.

Une fois ce deuxième problème résolu, Chris Vickery explique son mode opératoire : c’est en lançant « par hasard » la requête « port:27017 » sur le Shodan.io qu’il s’est aperçu que le moteur de recherche avait indexé les IP des instances MongoDB, les laissant en accès libre.

Du côté de Kromtech, on assure, sur une page d’information mise en place pour l’occasion, que personne à part Chris Vickery n’a accédé à la base de données. Tout en précisant qu’aucun numéro de carte bancaire n’a pu être exposé, les paiements étant gérés par un tiers.

Au-delà de MacKeeper, le plus inquiétant, c’est cette déclaration de Chris Vickery, qui affirme avoir « trouvé, ces deux dernières semaines, pas moins de 25 millions de comptes utilisateurs laissés sans protection par différents services en ligne ».

* Logiciel de maintenance pour les systèmes OS X, MacKeeper est connu comme un loup blanc. Certains se demandent quelle est son utilité, hormis collecter des données. Il faut dire que certains comportements le rapprochent d’un malware…

Crédit photo : Konstantin Yolshin – Shutterstock.com