Vous avez téléchargé une photo sur Internet ? 9 millions de visages d'utilisateurs ont fuité sur le réseau

Avez-vous déjà utilisé un service en ligne pour vérifier qui se cache derrière un profil Facebook ou un numéro de téléphone inconnu ? Beaucoup d'entre nous téléchargent des photos et des informations personnelles sur ces sites pour effectuer une vérification préalable et se protéger des escrocs. Cependant, un tel service, censé nous protéger, est devenu lui-même une source de danger grave, alors que des millions de photos de visages d'utilisateurs ont été totalement exposées sur le réseau ouvert.

Comment des millions de photos de visages ont-elles fuité ?

Le chercheur en cybersécurité Jeremiah Fowler a récemment découvert une base de données piratée d'un volume d'environ 450 gigaoctets. La base contenait exactement 9 042 977 fichiers d'images de visages, de photos de profil et de scans de photographies physiques téléchargées par les utilisateurs. Les images, qui comprenaient des adultes, des adolescents et même des enfants, appartenaient à la société américaine ClarityCheck, qui propose des services de vérification d'identité et de recherche inversée de numéros de téléphone, d'e-mails et de photos.

Le grand danger de l'exposition d'une telle base de données est l'utilisation abusive par des pirates informatiques et des escrocs du web. Les vraies photos de visages sont un atout précieux pour les cybercriminels, qui les utilisent pour créer de faux profils, commettre des arnaques sentimentales, usurper l'identité d'autres personnes ou concevoir des attaques de phishing ciblées. Heureusement, l'entreprise a bloqué l'accès à la base de données immédiatement après le signalement, et pour l'instant, il n'y a aucune preuve que les informations aient été vendues sur le dark web.

Pourquoi les bases de données restent-elles exposées ?

Cette fuite est le résultat d'une mauvaise configuration de la base de données dans le cloud, qui est restée ouverte sans mot de passe ni chiffrement. De nombreuses entreprises ont tendance à oublier que la sécurité des données dans le cloud relève de leur entière responsabilité, et non de celle du fournisseur de cloud uniquement. Des cas similaires se sont produits par le passé avec des entreprises comme TrackMan, qui a exposé des dizaines de millions d'enregistrements, ou la société IMDataCenter, qui a laissé des dizaines de gigaoctets d'informations sensibles totalement exposées sur le réseau.