TECH ACTUS – Une attaque massive a fait changer de mains 2,7 milliards d’enregistrements car une base de données n’était pas suffisamment protégée.
Les entreprises cherchent de plus en plus à améliorer leur sécurité numérique, ce qui les oblige à vérifier en permanence leurs systèmes pour détecter les vulnérabilités. Cependant, le phishing peut toujours réussir. Cette fois, c’est Mars Hydro, une entreprise chinoise spécialisée dans la culture en intérieur et l’hydroponie, qui avait dans sa base de données 2,7 milliards d’enregistrements accessibles aux cyberattaquants.
Cette base de données contenait des informations très sensibles. Elle comprenait des données relatives aux smartphones et aux systèmes d’exploitation (iOS ou Android), ainsi que des détails relatifs aux réseaux Wi-Fi (noms de réseau SSID, mots de passe). Peut-être que si l’entreprise chinoise avait protégé cela par un mot de passe, cela n’aurait pas été un problème, mais Mars Hydro a oublié de le faire. Les adresses IP, les adresses e-mail étaient également dans la base de données, ce qui a permis aux attaquants d’accéder aux appareils et aux réseaux, afin que les criminels puissent surveiller les utilisateurs et ensuite frapper plus tard ! Il pourrait même y avoir des attaques de type « man-in-the-middle » (manipulation du trafic entre les utilisateurs et l’appareil).
Et c’est le plus dangereux, car ni l’utilisateur ni l’appareil qu’il utilise ne peuvent reconnaître que leur communication a été compromise. En conséquence, l’identité de l’utilisateur peut être falsifiée et les attaquants peuvent accéder à des identifiants de connexion sensibles, à des informations financières et même à des données d’entreprise dans le cadre d’une attaque d’écoute clandestine. Mars Hydro utilise des smartphones pour gérer son équipement hydroponique, et son application est disponible sur le Google Play Store et l’Apple App Store en anglais, allemand, français et chinois. Bien qu’ils ne collectent en principe pas de données utilisateur, les appareils IoT connectés au réseau de l’utilisateur peuvent avoir transmis des informations et créé une base de données.
Cela pourrait être particulièrement embarrassant pour Mars Hydro. Nous n’avons pas encore entendu parler d’une quelconque utilisation abusive des données qu’ils ont collectées, mais on ne sait jamais quand ils pourraient frapper. Cette histoire montre que la confidentialité doit être prise au sérieux.
Source : WCCFTech
