Des millions de données mal gardées par un logiciel de Microsoft

Publié le 24/08/2021 à 09:07

Des millions de données mal gardées par un logiciel de Microsoft

Publié le 24/08/2021 à 09:07

Par AFP

American Airlines, Ford, J.B. Hunt et des collectivités comme l'autorité de la santé pour le Maryland ou encore les transports publics de la ville de New York font partie des 47 groupes concernés. (Photo: Getty Images)

Quelque 38 millions de données et informations personnelles, dont certaines issues de plateformes pour le traçage des cas contact de coronavirus, ont été rendues vulnérables plus tôt cette année par un défaut de configuration dans un logiciel de Microsoft utilisé par diverses entreprises et organisations.

La société de sécurité informatique UpGuard a publié lundi un compte-rendu d'une enquête sur plusieurs mois montrant que des millions de noms, d'adresses, de numéros d'identification fiscale et autres informations confidentielles ont été exposés — mais non compromis — avant que le problème ne soit résolu.

American Airlines, Ford, J.B. Hunt et des collectivités comme l'autorité de la santé pour le Maryland ou encore les transports publics de la ville de New York font partie des 47 groupes concernés.

Ils ont en commun d'avoir utilisé un logiciel de Microsoft, Power Apps, qui permet de créer facilement des sites internet et applications mobiles d'interaction avec le public. 

Par exemple, si une institution a besoin de mettre rapidement en place un portail de prise de rendez-vous pour des vaccins, ce service du géant informatique fournit aussi bien la façade publique que la gestion des données.

Mais jusqu'en juin 2021, la configuration du logiciel par défaut n'assurait pas de façon adéquate la protection de certaines données, expliquent les chercheurs d'UpGuard. «Grâce à nos recherches, Microsoft a depuis modifié les portails de Power Apps», précisent-ils.

«Nos outils permettent de concevoir des solutions à échelle, qui répondent à une grande variété de besoins. Nous prenons la sécurité et la confidentialité au sérieux, et encourageons nos clients à configurer les produits de façon à satisfaire au mieux leurs besoins en matière de confidentialité», a réagi un porte-parole de Microsoft.

Le groupe a aussi indiqué qu'il informait systématiquement ses clients quand de potentiels risques de fuites étaient identifiés, pour qu'ils puissent y remédier.

Mais selon UpGuard, il est préférable de changer le logiciel en fonction de la façon dont s'en servent les clients, plutôt que «de considérer le manque généralisé de confidentialité des données comme une mauvaise configuration par l'utilisateur, ce qui fait perdurer le problème et expose le public à des risques».

«Le nombre de comptes où des informations sensibles étaient vulnérables montre que le risque lié à cette fonctionnalité — la probabilité et l'impact d'une mauvaise configuration — n'avait pas été pris en compte de façon adéquate», ajoutent-ils.

Sur le même sujet

Vol chez Desjardins: l'OACIQ juge un courtier coupable d'avoir acheté des données confidentielles

Mis à jour le 22/09/2021 | Nicolas St-Germain

Au même moment où Desjardins annonçait le vol de données, l'ordinateur du courtier aurait été complètement vidé.

Faille: des données personnelles rendues accessibles en France

31/08/2021 | AFP

Les numéros de sécurité sociale et le résultat des tests de 700 000 personnes étaient, entre autres, disponibles.

À la une

S'inquiéter d'une vague d’immigrants?

MAUDITE JOB! «Mon chèque de paie va-t-il bientôt diminuer parce que les employeurs embauchent à bas prix?»

En travail hybride? Faites gaffe aux «boys club»

RHÉVEIL-MATIN. Votre organisation doit faire l'effort d'inclure tous ses employés, même ceux qui travaillent à distance.

Bourse: le S&P 500 à un sommet

Mis à jour il y a 42 minutes | lesaffaires.com, AFP et Presse canadienne

REVUE DES MARCHÉS. L'indice principal à la Bourse de Toronto a terminé en hausse.