Les États-Unis ont connu la plus grosse fuite de données des électeurs jamais observée
à cause d'un service de stockage qui n'a pas été sécurisé

230PARTAGES

21  0 
Les données personnelles et les informations de profil sur des millions d'électeurs américains ont été exposées dans ce qui a été catégorisé comme étant « la plus grande fuite de son genre ».

Au total, 198 millions d'enregistrements ont été trouvés stockés sur un Amazon S3, un service de stockage de données en ligne, appartenant à Deep Root Analytics, une société républicaine d'analyse de données et qui n'a pas été sécurisé par les administrateurs. Pour l’équipe Cyber Risk du cabinet de sécurité UpGuard, les données, qui remontent à plus d'une décennie, comprennent des informations sur tous les électeurs américains enregistrés.

« Les données, stockées sur un serveur cloud accessible au public appartenant à la société de données républicaine Deep Root Analytics, comprenaient 1,1 téraoctet d'informations personnelles entièrement non sécurisées compilées par DRA et au moins deux autres entrepreneurs républicains, TargetPoint Consulting, Inc. et Data Trust. Au total, les informations personnelles de potentiellement près de l'ensemble des 200 millions d'électeurs enregistrés en Amérique ont été exposées. Parmi ces informations figuraient les noms, les dates de naissance, les adresses de domicile, les numéros de téléphone et les détails de l'inscription des électeurs, ainsi que les données décrites comme appartenant à des groupes ethniques et des religions électeurs “modélisés” ».

Et de continuer en expliquant que cette divulgation éclipse les violations antérieures des données électorales au Mexique (également découvertes par Vickery) et aux Philippines de plus de 100 millions d’individus, exposant les informations personnelles de plus de 60 % de la population américaine entière.

« L'exposition des données donne un aperçu du fonctionnement interne de l'opération de données de 100 millions de dollars du Comité national républicain pour l'élection présidentielle de 2016 », ironise le cabinet.

« Deep Root Analytics, TargetPoint et Data Trust faisaient partie des entités embauchées par le RNC (Republican National Committee ) qui servaient de base à l'équipe de données électorales générales de la campagne Trump en 2016, dans le but d'influencer les électeurs potentiels et de prédire avec précision leur comportement. Le dépôt de données RNC a fini par acquérir environ 9,5 milliards de points de données concernant trois Américains sur cinq, ce qui représente 198 millions d'électeurs américains potentiels sur leurs préférences politiques probables en utilisant une modélisation algorithmique avancée dans quarante-huit catégories différentes. »

Avec plusieurs magasins de données utilisant un « ID RNC » alphanumérique à 32 caractères, il est non seulement possible d'identifier de manière unique les personnes référencées dans la base de données, mais aussi de rassembler de nombreuses informations à leur sujet. L'information était initialement destinée à être utilisée par les candidats politiques pour cibler les électeurs potentiels et adapter leurs campagnes de manière appropriée.

À l'heure actuelle, il n'est pas clair si quelqu'un d’autre qu’UpGuard a eu accès aux données. Cependant, compte tenu du fait que tout ce qu’il fallait pour pouvoir visiter la base de données n’était pas complexe, les chances que les informations puissent tomber dans les mauvaises mains sont élevées.

Source : UpGuard

Voir aussi :

Un ancien administrateur IT de l'hébergeur hollandais Verelox efface toutes les données des utilisateurs et formate les serveurs de l'entreprise
Les ventes mondiales de serveurs ont connu un déclin de près de 5 % au premier trimestre 2017, d'après Gartner
Vault 7 : WikiLeaks révèle Pandemic, un outil de la CIA qui s'appuie sur un serveur Windows pour infecter des machines dans un réseau ciblé

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de kolodz
Modérateur https://www.developpez.com
Le 20/06/2017 à 17:44
Citation Envoyé par Stéphane le calme Voir le message
L'information était initialement destinée à être utilisée par les candidats politiques pour cibler les électeurs potentiels et adapter leurs campagnes de manière appropriée.
Je tiens à mettre en avant ce point. Je ne pense pas qu'il ai besoin de commentaire en plus...
6  0 
Avatar de NSKis
En attente de confirmation mail https://www.developpez.com
Le 21/06/2017 à 18:58
2 conclusions s'imposent:

1. Une fois de plus, on a la preuve que les idées de Cloud et autres "j'externalise mes données auprès d'un tiers pour économiser" très en vogue auprès des entreprises est une vaste connerie

2. Les politicards et autres administrations gouvernementales ont depuis longtemps classé le dossier "protection de la vie privé" aux oubliettes même s'ils passent leurs journées à précher la bonne parole!

Quoique que certains disent, nul n'est à l'abris de l'incompétence d'un collaborateur d'un fournisseur de Cloud ou du manque d'éthique de beaucoup (j'ai là une pensée émue pour une certaine organisation de l'ONU qui fait la demande de dons en France en indiquant préserver la confidentialité des données de ses donateurs mais s'empresse de les commercialiser pour se faire encore plus de fric)
5  1 
Avatar de tontonCD
Membre régulier https://www.developpez.com
Le 23/06/2017 à 11:21
Rappelons qu'il y a en France le "Fichier Tes", qui rassemble entre autres information sur 60 millions de français, l'adresse physique, la photo, et lorsque c'est possible (donnée de la carte d'identité et du passeport) la signature numérisée, le téléphone, l'adresse mail, ... et probablement d'autres non officielles puisqu'il a été question à un moment d'accéder légalement aux caméras des pc, caméras wifi, à votre télé connectée, ...
4  0 
Avatar de Grogro
Membre extrêmement actif https://www.developpez.com
Le 21/06/2017 à 10:05
Ainsi ils ont des bases de données électorales complètes, approfondies et franchement intrusives. Bien au delà de la géographie électorale que tout le monde peut connaitre puisqu'il y a des statistiques ethniques, culturelles, économiques. Et ils s'étonnent ensuite d'observer des opérations de micro-ciblage pour manipuler au plus près tel ou tel groupe d'électeurs.
3  0 
Avatar de Stéphane le calme
Chroniqueur Actualités https://www.developpez.com
Le 26/06/2017 à 9:10
Bonjour

Citation Envoyé par syl204269 Voir le message


-> Il faudrait peut-être rajouter que c'est bien l'utilisateur qui est la source du problème et que ceci aurait très bien pu se passer sur un autre cloud (Google, Oracle, Microsoft ...) voir même hors du cloud.
J'ai pris note et modifié en conséquence, notamment en rayant la mention d'Amazon du sous-titre et en précisant qu'il ne s'agit pas d'une faille du Amazon S3.
2  0 
Avatar de Darktib
Membre confirmé https://www.developpez.com
Le 20/06/2017 à 19:34
Les États-Unis ont connu la plus grosse fuite de données
TargetPoint Consulting
Data Trust
L'ironie du sort...
1  0 
Avatar de byrautor
Membre averti https://www.developpez.com
Le 22/06/2017 à 17:53
Et oui !
Etonnant quand même
Les politicards et autres administrations gouvernementales ont depuis longtemps classé le dossier "protection de la vie privé" aux oubliettes même s'ils passent leurs journées à prêcher la bonne parole!

Quoique que certains disent, nul n'est à l'abris de l'incompétence d'un collaborateur d'un fournisseur de Cloud ou du manque d'éthique de beaucoup (j'ai là une pensée émue pour une certaine organisation de l'ONU qui fait la demande de dons en France en indiquant préserver la confidentialité des données de ses donateurs mais s'empresse de les commercialiser pour se faire encore plus de fric)

Bien d 'accord, ça se vérifie.
1  1 
Avatar de YAKYETI
Membre du Club https://www.developpez.com
Le 22/06/2017 à 19:46
Un nom, peut-être ? Pour alimenter le débat avec quelques amis qui ne veulent pas comprendre que l'humanitaire est un métier dont on vit très bien.
J'ai des photos de gugusses de l'UNICEF en "vacances" dans les années 90 au Laos. Aucune action dans la région, mais c'était la belle vie. Avec leurs superbes gros 4x4 rutilants tout neufs. Les laotiens n'appréciaient que très moyennement !
Et ils n'ont pas du tout aimé que je les prenne en photo, allez savoir pourquoi ...
Merci d'avance.
1  0 
Avatar de syl204269
Nouveau Candidat au Club https://www.developpez.com
Le 25/06/2017 à 22:53
Bonsoir,

J'ai lu avec attention cet article, travaillant très régulièrement sur le Cloud et souvent sur AWS (le cloud d'Amazon).
Le titre m'a interpellé, je pense que c'était le but, et quand j'ai lu le contenu (ainsi que la source en anglais) celui-ci m'a laissé perplexe.

J'aimerais que le "Stéphane le calme" explique ce titre, et surtout la fin "à cause d'un serveur Amazon non sécurisé".

1 - "un serveur Amazon non sécurisé" : l'article original parle d'un "bucket S3".
Un bucket S3 n'est pas un serveur, mais un espace "privatisé" (pas forcément sécurisé) sur un ensemble de serveur sur AWS. Est-ce un manque de connaissances ou une erreur assumée pour faire du buzz ? J'aimerais que le rédacteur de l'article nous explique

2 - "non sécurisé" : la forme de ce titre laisse à penser qu'il y a des failles sur le cloud AWS.
Si vous utilisez un peu AWS, vous verrez que AWS assure une partie de la sécurité (shared responsibility model).
AWS est un peu comme un serrurier qui vous fournit un verrou. Si vous ne le posez pas sur la porte ou si vous laissez la porte ouverte ce n'est pas la faute du serrurier. Le titre de l'article laisse penser le contraire.

Je laisse chacun se faire un avis sur le cloud (je suis utilisateur assidu de cette technologie depuis plusieurs années). Je trouve juste dommage de traduire un article avec tant d’approximation ou en cherchant à faire le buzz en mettant dans le titre Amazon.

@Stéphane le calme : A vous de me répondre...

Cordialement,
Syl20
1  0 
Avatar de Stéphane le calme
Chroniqueur Actualités https://www.developpez.com
Le 25/06/2017 à 23:42
Bonsoir,

Citation Envoyé par syl204269 Voir le message
Bonsoir,
"non sécurisé" : la forme de ce titre laisse à penser qu'il y a des failles sur le cloud AWS.
Si vous utilisez un peu AWS, vous verrez que AWS assure une partie de la sécurité (shared responsibility model).
AWS est un peu comme un serrurier qui vous fournit un verrou. Si vous ne le posez pas sur la porte ou si vous laissez la porte ouverte ce n'est pas la faute du serrurier. Le titre de l'article laisse penser le contraire.

"Non sécurisé" ne fait aucunement référence à une faille du côté d'AWS (je l'aurais précisé dans le texte s'il en était autrement), mais plutôt au fait que, comme vous le décrivez si bien, la porte a été laissé ouverte. La faute n'incombe donc pas au serrurier.

Il semble donc que l'utilisation de "non sécurisé" puisse prêter à confusion si elle est interprétée autrement. Dans ce cas, que suggérez-vous pour refléter au mieux le fait que le dépôt cloud n'était pas protégé par une sécurité comme l'atteste ce passage ?

Citation Envoyé par UpGuard


The Discovery

In the early evening of June 12th, UpGuard Cyber Risk Analyst Chris Vickery discovered an open cloud repository while searching for misconfigured data sources on behalf of the Cyber Risk Team, a research unit of UpGuard devoted to finding, securing, and raising public awareness of such exposures. The data repository, an Amazon Web Services S3 bucket, lacked any protection against access.


Citation Envoyé par syl204269 Voir le message
"un serveur Amazon non sécurisé" : l'article original parle d'un "bucket S3".
Un bucket S3 n'est pas un serveur, mais un espace "privatisé" (pas forcément sécurisé) sur un ensemble de serveur sur AWS.
Dans ce cas, je suppose que vous me suggérez de remplacer "serveur" par "espace privatisé" qui serait plus juste, selon vous ?

Merci pour votre retour :-)
1  0 
Contacter le responsable de la rubrique Accueil

Partenaire : Hébergement Web