Mi-octobre, les chercheurs en sécurité Bob Diachenko et Vinny Troia ont découvert en libre accès sur un serveur Elasticsearch (sur Google Cloud) quelque 4 To de données. Après analyse, il a été déterminé qu'il s'agissait d'informations personnelles de plus de 1,2 milliard de personnes uniques (dont 260 millions aux États-Unis).

Parmi ces données, 650 millions d'adresses email uniques. Néanmoins, l'impressionnante collection ne contenait pas d'informations sensibles comme des mots de passe, numéros de cartes bancaires ou autres.

facepalm-erreur

Dans un billet de blog sur Data Viper dont il est le fondateur, Vinny Troia souligne des noms, numéros de téléphone, ainsi que des profils Facebook, Twitter, Github et LinkedIn, des informations sur des antécédents professionnels pour ce qu'il qualifie de " fuite de données massive. "

Le serveur Elasticsearch était simplement accessible depuis le navigateur web, sans besoin d'authentification d'aucune sorte et avec la possibilité de télécharger toutes les données. Vinny Troia avait fait part de sa découverte au FBI. Le serveur a depuis été fermé.

Have I Been Pwned (HIBP) référence cette fuite de données. " Les données exposées comprenaient un index indiquant qu'elles provenaient de la société d'enrichissement de données People Data Labs (PDL) et contenaient 622 millions d'adresses email uniques. "

HIBP - qui collabore notamment avec Firefox Monitor - ajoute que le serveur n'appartenait pas à PDL. A priori, ce pourrait être un client qui n'aurait pas sécurisé de manière adéquate la base de données.

Outre PDL, une autre entreprise d'enrichissement de données ou courtier de données, du nom de OxyData, serait une source des informations. Le serveur ne lui appartenait pas non plus et elle réfute aussi un piratage.