10 exemples concrets de collecte de données avec vos informations personnelles

Added 2018-05-24

La relation opposée entre la vie privée des utilisateurs et les ventes publicitaires des entreprises continue de faire les manchettes, alors que Facebook et d'autres entreprises sont amenées à rendre compte de l'utilisation de leurs données personnelles.

Mais il ne s’agit pas d’une tendance récente, car au fil des années, les entreprises ont constamment compromis les données personnelles pour des raisons de croissance et de chiffre d’affaires. Voici quelques occasions notables où la collecte de données met en péril vos informations personnelles.

1. LocalBlox expose 48 millions de comptes sociaux

LocalBlox est un agrégateur de données de médias sociaux qui a récemment fait la manchette pour toutes les mauvaises raisons. C’est après que UpGuard, société spécialisée dans la cybersécurité, a découvert que LocalBlox avait laissé les données de 48 millions de comptes exposées.

«L’équipe UpGuard Cyber Risk peut maintenant confirmer qu’un référentiel de stockage en nuage contenant des informations appartenant à LocalBlox, un service de recherche de données personnelles et professionnelles, a été laissé accessible au public, dévoilant ainsi 48 millions d’enregistrements d’informations personnelles détaillées sur des dizaines de millions d’individus. gratté à partir de sources multiples, " UpGuard a déclaré dans un rapport.

Mais les données divulguées n'incluaient pas seulement les détails des médias sociaux. Cela incluait beaucoup plus d'informations personnelles. Les données exposées comprenaient des noms réels, des adresses physiques, des anniversaires et plus encore. En plus de cela, les données utilisateur comprenaient également des détails provenant de divers réseaux tels que LinkedIn, Facebook et Twitter.

2. Données sur 198 millions d'électeurs américains exposés

En 2017, une firme de données recrutée par le Comité national républicain (RNC) a compromis les données de presque tous les 200 millions d’électeurs inscrits en Amérique.

La société, Deep Root Analytics, a fourni des profils d’électeurs américains sur la base de leurs informations personnelles. Pour rassembler ces données, il a travaillé avec deux autres entreprises: Targetpoint Consulting et DataTrust.

Cela a abouti à une vaste collection d'informations. Les informations divulguées incluaient des noms, adresses et numéros de téléphone. Les données comportaient également des modèles permettant de prédire l’appartenance ethnique et la religion d’une personne.

La fuite a entraîné un recours collectif contre Deep Root Analytics. Après tout, la société a exposé plus de 1,1 téraoctets de données à son serveur cloud non sécurisé.

3. Spammer perd des données sur 1,4 milliard d'utilisateurs

Bien que les sociétés d'agrégation de données soient légales, tous les collecteurs de données ne travaillent pas dans les limites de la loi. Ce fut le cas de City River Media (CRM), une énorme opération de spam illégale qui a accidentellement divulgué les données de plus d'un milliard d'utilisateurs.

La fuite a compromis 1,4 milliard de comptes de messagerie associés à de vrais noms, à des adresses IP d’utilisateur et parfois à des adresses physiques.

Comment est-ce arrivé? Selon les enquêteurs du Centre de recherche sur la sécurité MacKeeper, CSOOnline et Spamhaus; Les sauvegardes Rsync mal configurées ont rendu les données vulnérables.

Le seul avantage à en tirer est que le CRM, qui se faisait passer pour une entreprise de marketing légitime, était présenté comme une opération de spam, qui envoyait plus d’un milliard de courriers électroniques chaque jour. Chris Vickery de MacKeeper a pu accéder aux journaux Hipchat de CRM, aux enregistrements d’enregistrement de domaine, aux détails de comptabilité, à la planification de l’infrastructure, aux notes de production, aux scripts et aux affiliations commerciales. Il a ensuite transmis ces informations aux autorités.

4. Grindr partage le statut VIH de ses utilisateurs

Le transfert des données par Aleksandr Kogan à Cambridge Analytica a enfreint les conditions de service de Facebook. Mais le volume considérable de données récoltées était réuni dans les limites des politiques et de l’API de Facebook à l’époque.

De même, lorsque les utilisateurs ont découvert que des tiers avaient accès au statut VIH d’utilisateurs de Grindr, ils ont également découvert qu’il s’agissait du service habituel pour le réseau de rencontres LGBT. Les données comprenaient également la localisation GPS de l’utilisateur, l’identité du téléphone et l’adresse électronique.

Les utilisateurs ont considéré qu'il s'agissait d'une violation flagrante de leur vie privée. La société a partagé des informations médicales particulièrement sensibles et généralement confidentielles avec deux autres sociétés: Apptimize et Localytics.

Grindr a assuré aux utilisateurs qu'ils ne vendaient pas ou ne divulguaient pas les données. Au lieu de cela, ils ont partagé les données pour aider à l'optimisation de l'application. Quoi qu’il en soit, l’entreprise a par la suite annoncé qu’elle ne partagerait plus le statut VIH des utilisateurs avec des tiers.

5. La fuite des archives dépasse la population du pays

La plus grande fuite de données d’Afrique du Sud était telle que le nombre de dossiers personnels divulgués dépassait la totalité de la population du pays. La fuite comprenait non seulement les informations personnelles de la majorité des habitants du pays, mais également des personnes décédées. Les données comprenaient même les numéros d'identification (ID) de plus de 12 millions de mineurs.

Au total, les données ont révélé 60 millions de numéros d'identification uniques, ainsi que des informations personnelles telles que les coordonnées, les noms complets, etc. La fuite était particulièrement grave dans la mesure où le numéro d’identité d’un citoyen sud-africain peut être utilisé pour recueillir des informations personnelles les concernant, telles que les anniversaires, le sexe et l’âge. Les criminels utilisent souvent ces numéros pour voler des identités ou commettre une fraude.

Alors, comment ces données ont-elles été exposées? Une sauvegarde de base de données portant le nom masterdeeds.sql a été trouvée sur un serveur non sécurisé public. Expert en cybersécurité et fondateur de HaveIBeenPwned.com, Troy Hunt a été informé des données, qui ont été exposées pendant au moins sept mois.

Une société nommée Dracore a agrégé les données et créé la base de données. Mais un de leurs clients, Jigsaw Holdings, a exposé les données avec un serveur non sécurisé.

6. Fichiers de la société de données partagés sur Twitter

Modern Business Solutions, une société de gestion de données basée aux États-Unis, s'est retrouvée du mauvais côté de l'opinion publique en 2016. Sa sécurité laxiste a entraîné l'exposition de 58 millions de disques de consommateurs.

Dans cet exemple, les données exposées comprenaient les noms, les dates de naissance, les adresses électronique et postale, les titres des postes, les numéros de téléphone, les données du véhicule et les adresses IP.

7. Des millions d'identités volées à des courtiers en données

Les entreprises de collecte de données ont depuis longtemps des problèmes de confidentialité. Même en 2013, les dangers de la collecte de données sont apparus lorsqu'il a été découvert que des pirates informatiques avaient accédé à plusieurs serveurs de courtiers de données. Cet accès leur a permis de voler les informations de millions d'Américains.

Les pirates informatiques ont accédé à une grande partie de ces données via des serveurs mal configurés, des failles de sécurité et des bases de données non sécurisées, et les ont téléchargées sur un site nommé SSNDOB. SSNDOB était également un agrégateur de données qui vendait des informations volées.

Les données volées comprenaient les numéros de sécurité sociale, les dossiers de crédit, les vérifications des antécédents, les anniversaires, les adresses et autres données personnelles. Lorsque des adolescents hacktivistes ont violé SSNDOB, ils ont découvert à quel point les enregistrements étaient volumineux. Même les adresses et informations personnelles de célébrités telles que Kanye West, Jay Z et Beyonce; ainsi que des personnalités telles que la première dame de l'époque, Michelle Obama, étaient accessibles.

Le botnet de SSNDOB a accédé aux serveurs de grands courtiers en données tels que LexisNexis Inc, Dun & Bradstreet et Kroll Background America Inc. Le FBI a finalement ouvert une enquête à ce sujet.

8. Alteryx divulgue des données sur 123 millions de ménages américains

En 2017, UpGuard a découvert que la société d'analyse de données Alteryx avait exposé les données de 123 millions de ménages américains via un référentiel de données non sécurisé.

Les informations accessibles au public étaient particulièrement sensibles, car l’un des partenaires d’Alteryx est l’agence de notation du crédit à la consommation Experian. Le référentiel comprenait les adresses personnelles, les coordonnées, les détails de l'hypothèque, l'historique financier et l'historique des achats. Toute personne possédant un compte Amazon Web Services peut accéder à ces informations.

UpGuard a décrit les données comme «un aperçu remarquablement invasif de la vie des consommateurs américains». Heureusement, les données ne sont plus accessibles au public, mais comme pour la plupart de ces fuites, le nombre de personnes qui ont trébuché et téléchargé les informations confidentielles n’est pas connu.

9. Un autre test sur Facebook provoque la fuite de données utilisateur

Selon Nouveau scientifique , des chercheurs de l’Université de Cambridge ont créé un questionnaire intitulé myPersonality. Le quiz a recueilli des données sur les participants, que les chercheurs ont téléchargées dans une base de données en ligne. Des centaines de chercheurs d'autres institutions pourraient accéder à ces données à des fins de recherche.

Cependant, des mesures de sécurité insuffisantes ont exposé ces données pendant quatre ans. Tandis que seul un identifiant de collaborateur enregistré pouvait accéder aux données, un ensemble d'identifiants de travail exposés compromettait toute sécurité.

«Au cours des quatre dernières années, un nom d'utilisateur et un mot de passe de travail étaient disponibles en ligne et pouvaient être trouvés à partir d'une seule recherche sur le Web. Quiconque souhaitait accéder à l'ensemble de données aurait pu trouver la clé pour le télécharger en moins d'une minute », a déclaré New Scientist.

Les données comprenaient des informations personnelles d'environ 3 millions d'utilisateurs de Facebook et leurs résultats de tests psychologiques.

10. La base de données expose 33 millions d'employés

En 2017, le public a découvert qu'une base de données Dun & Bradstreet sur le gouvernement américain et les employés de l'entreprise avait été divulguée. Cela a révélé plus de 33 millions d'enregistrements, qui comprenaient des détails tels que les noms, les postes et fonctions, les salaires, les coordonnées et les adresses électroniques.

Si Dun & Bradstreet semble familier, c’est que leur base de données a été incluse dans la collection de SSNDOB (mentionnée précédemment). La société, qui agrège les données des employés et vend des enregistrements aux spécialistes du marketing, a nié toute responsabilité pour la fuite. Ils ont créé la base de données, mais la source probable de la fuite était l'un de leurs milliers de clients.

Troy Hunt a découvert la fuite après qu'une source lui ait envoyé la base de données. Hunt a noté que les dossiers des employés du ministère de la Défense constituaient la majeure partie des données. Cela les mettait particulièrement en danger, car les titres d'emploi tels qu'analyste du renseignement, ingénieur chimiste, soldat et sergent de peloton étaient identifiés dans les données, ce qui les rendait utiles aux agences étrangères qui pourraient vouloir infiltrer ou attaquer des rôles gouvernementaux spécifiques.

"Nous avons perdu le contrôle de nos données personnelles et, comme [Tim] Berners-Lee l'a déclaré il y a quelques jours à peine, nous n'avons souvent aucun moyen de restituer aux entreprises les données que nous préférerions ne pas partager", a déclaré Hunt dans le sien rapport sur la fuite Dun & Bradstreet .

La plupart des personnes touchées par la fuite n'auraient probablement aucune idée que les entreprises collectent leurs données et les vendent dans des listes soigneusement regroupées.

Les entreprises en savent plus sur vous que vous ne le pensez

Dans bon nombre de ces incidents, vous ne pouvez pas reprocher aux victimes des fuites de données d’avoir accès au domaine public. Les entreprises ont plutôt collecté ces données à partir de plusieurs services et enregistrements. Les consommateurs ignoraient souvent que les entreprises partageaient ces données avec des tiers.

C’est pourquoi il est important de vérifier les politiques de confidentialité des services que vous utilisez. Vous devez également vous tenir au courant des brèches et des fuites pouvant vous affecter.

Crédit d'image: AllaSerebrina / Depositphotos