- AU10TIX, chargé de la vérification d’identité pour TikTok, Uber et X, a laissé des identifiants d’administration exposés en ligne pendant plus d’un an, créant un risque d’accès à des données sensibles d’utilisateurs
- Ce service traite des données de vérification d’identité à haut risque, notamment des photos de visage, des images de permis de conduire, la liveness detection à partir de vidéos en temps réel et l’estimation de l’âge à partir de photos
- D’après des captures d’écran et des données obtenues par 404 Media, des hackers ont pu accéder à des données sensibles via ces identifiants exposés
- Le site d’AU10TIX affiche aussi les logos de Fiverr, PayPal, Coinbase, LinkedIn et Upwork, et certaines de ces entreprises ont confirmé une relation client actuelle ou passée
- Alors que les exigences de vérification d’identité et d’âge s’étendent aux réseaux sociaux et aux sites pornographiques, les prestataires de vérification eux-mêmes peuvent devenir des cibles d’attaque
Exposition des identifiants d’administration d’AU10TIX
- AU10TIX, basé en Israël, fournit des services de vérification d’identité pour les utilisateurs de TikTok, Uber et X
- Selon des captures d’écran et des données obtenues par 404 Media, certains identifiants d’administration sont restés exposés en ligne pendant plus d’un an
- Ces identifiants ont potentiellement permis l’accès à des données sensibles telles que des photos de visage d’utilisateurs et des images de permis de conduire
Données traitées lors du processus de vérification d’identité
- Sur son site web, AU10TIX indique proposer des "full-service identity verification solutions"
- Le service traite notamment les éléments suivants
- la vérification des documents d’identité des utilisateurs
- la liveness detection via un flux vidéo en temps réel avec l’utilisateur
- la vérification de l’âge à partir de photos téléversées
Entreprises affichées comme clientes
- En plus de TikTok, Uber et X, le site d’AU10TIX affiche les logos de plusieurs autres entreprises
- Parmi elles figurent Fiverr, PayPal, Coinbase, LinkedIn et Upwork
- Certaines d’entre elles ont confirmé à 404 Media être des clientes actuelles ou passées d’AU10TIX
Portée des preuves partagées par le chercheur
- La découverte d’un chercheur en cybersécurité montre que les services de vérification d’identité eux-mêmes peuvent devenir des cibles de piratage
- Ce chercheur a fourni à 404 Media des captures d’écran et une partie des données à des fins de vérification, sans les diffuser au-delà
Les risques liés à l’extension de la vérification d’identité et d’âge
- De plus en plus de réseaux sociaux et de sites pornographiques évoluent vers des modèles de vérification d’identité ou d’âge exigeant le téléversement d’une véritable pièce d’identité
- Cette exposition montre que, dans cette tendance, les prestataires de vérification peuvent devenir des points de concentration de données sensibles d’utilisateurs
1 commentaires
Avis sur Hacker News
L’entreprise affirme avoir découvert la fuite d’identifiants il y a 18 mois et avoir pris des mesures, mais les identifiants compromis auraient encore fonctionné jusqu’à il y a un mois.
Je me demande si la gouvernance et le niveau des fournisseurs dans ce secteur sont vraiment généralement à ce point. Pour une très grande entreprise, je peux imaginer qu’elle rate un ou deux endroits inhabituels où des identifiants sont utilisés, mais quand il s’agit d’un fournisseur dont c’est l’unique métier et où la confiance est centrale, on s’attend à autre chose.
Même si les compétences internes manquaient, je pensais qu’une entreprise de ce type aurait une assurance, et que l’assureur ferait intervenir des experts pour vérifier que ces mesures ont bien été menées à terme ; je ne sais pas si c’était une illusion.
Il n’y a aucune raison de garder une copie, et à tout le moins les éléments essentiels qui ne relèvent pas d’informations publiques auraient dû être masqués. C’est vraiment stupide.
Idéalement, oui, l’assureur devrait faire intervenir des experts pour s’assurer que les mesures sont correctement appliquées, mais dans la réalité, les assureurs ont des milliers de clients et ne peuvent pas fournir de garantie substantielle au-delà de vérifications de conformité de base. La gestion des accès et des identifiants est un problème difficile même pour des équipes sécurité bien dotées ; c’est encore plus difficile à traiter par un seul auditeur conformité.
J’ai demandé à Uber de supprimer mes données, mais on m’a raccroché au nez de manière impolie. Après avoir fait remonter jusqu’au CEO, ils m’ont envoyé un message expliquant pourquoi ils ne pouvaient pas les supprimer et me rassurant que mes inquiétudes concernant une fuite de données étaient « sans fondement ».
Une personne se présentant comme Maribel, d’Uber Support, a indiqué avoir réexaminé ma demande de suppression, mais qu’en raison de mesures de sécurité, ils ne pouvaient pas supprimer toutes les informations du compte, et m’a renvoyé vers la section « E. Data retention and deletion » de la Privacy Notice. Elle a précisé qu’au 12 mai 2024, le compte était marqué comme devant être supprimé, que la suppression du compte chauffeur était définitive, que le compte passager serait également supprimé automatiquement et que les crédits disparaîtraient.
Elle a également souligné que la plateforme disposait de mesures de sécurité strictes destinées à protéger la confidentialité et la sécurité.
Premièrement, cela laisse entendre que la sécurité est leur priorité absolue, alors qu’en réalité ils se contentent probablement de suivre les consignes minimales pour se protéger légalement, ce qui peut revenir à un mensonge.
Deuxièmement, garantir la sécurité des données est physiquement impossible. C’est comme promettre à un enfant qu’il ne mourra jamais. Une faille de sécurité n’est pas une porte qu’on peut fermer puis oublier : c’est une question de probabilité. Une société qui autorise les entreprises à donner des garanties absolues sur la sécurité se met elle-même en danger.
Ce qui m’est resté encore plus fortement après avoir vu le nouveau documentaire sur Ashley Madison, c’est qu’ils ont créé de faux certificats de sécurité tout en faisant très peu d’efforts pour la sécurité réelle, et qu’ils ont joué au chicken game avec les données de leurs utilisateurs alors qu’ils avaient la possibilité de fermer. Si les hackers passaient à l’action, les gains disparaîtraient évidemment aussi ; c’était donc un cas très clair d’aveuglement par la cupidité, et une part importante de la responsabilité des conséquences et des suicides aurait dû revenir légalement au CEO.
Bien sûr qu’ils ont fait fuiter les données. N’importe quel technicien expérimenté aurait vu dès le départ que cela finirait ainsi.
Un jour, un avocat compétent, doté de principes et comprenant un peu la tech, se mettra en colère et fera payer à l’une de ces entreprises le prix d’une négligence grave.
Ensuite, en regardant l’entreprise détruite, les autres tenteront de faire adopter des lois pour éviter d’être responsables, mais certaines concluront que la fête de l’imprudence est terminée et qu’elles doivent agir de manière plus responsable et plus compétente.
Comme je n’allais pas finaliser la demande, je leur ai demandé de supprimer les informations de mon passeport ; au début, ils ont ignoré la partie de ma demande concernant la suppression. Quand j’ai répondu à nouveau pour leur demander de supprimer mes données, ils ont invoqué les lois KYC et m’ont assuré que les données étaient bien sûr stockées en toute sécurité.
À ce moment-là, j’ai abandonné. J’aurais peut-être pu les faire supprimer en me battant, ou bien ils avaient peut-être les mains liées, ou encore le fait de me battre aurait pu faire marquer mes informations comme présentant un risque de blanchiment. Mais c’est exactement ce type de fuite que j’imaginais.
Ce fournisseur victime n’est pas le seul à détenir mes données, et cette compromission n’est pas la première, mais c’est celle qui fait le plus mal.
Anecdotiquement, pour la première fois depuis des mois, je suis submergé de SMS de spam. Je ne peux que penser que quelqu’un parcourt les nouvelles données fuitées à la recherche de numéros actifs.
On pourrait fixer par la loi un standard de diligence et faire de ce genre de cas une négligence grave, mais ce n’est pas encore le cas. Au départ, il n’est même pas clair envers qui ils ont une obligation de diligence, et sans cela, il ne peut pas y avoir de négligence. Là aussi, si l’on ne veut pas se battre indéfiniment, il faut corriger cela par la loi.
C’est intéressant de débattre de pertes spéculatives, comme la valeur du fait que des informations personnelles puissent être volées à l’avenir, mais la plupart des affaires portent sur des pertes réelles.
Quand le calcul est vraiment trop difficile, on passe souvent à des dommages-intérêts forfaitaires, mais ici cela n’existe pas encore non plus. À moins d’une forte activité législative, rien ne se passera en dehors des class actions habituelles et des coupons de 5 dollars.
À ce stade, le cycle du théâtre de la sécurité ressemble à ceci
La liste des clients m’a surpris : eToro, Coinbase, Payoneer [1]
Existe-t-il un moyen de vérifier si mes informations ont fuité ? J’ai l’impression que les photos de permis de conduire devraient relever des données biométriques dans les lois de certains États
[1] https://www.au10tix.com
[2] https://www.huschblackwell.com/2023-state-biometric-privacy-...
Tout cela me paraît être un cauchemar orwellien. Des services comme TikTok ou X ne devraient tout simplement pas demander de vérification d’identité au départ
Ce bazar ne fait que renforcer d’autres raisons montrant pourquoi c’est une mauvaise idée
Les entreprises ont aussi intérêt à prouver que leurs utilisateurs actifs sont de vraies personnes, et pas des bots
Si tu parles des chauffeurs Uber, je peux le comprendre dans une certaine mesure. Mais les passagers ? Je ne sais pas vraiment, je n’utilise pas Uber
D’un autre côté, j’en viens aussi à croire qu’il y a une intention de pousser les gens vers une vérification biométrique de l’identité, comme le scan de l’iris ou les empreintes digitales, précisément parce que les pièces d’identité physiques ont tellement fuité et sont tellement répandues chez les criminels qu’elles ne sont plus des documents fiables
Est-ce que c’était vraiment la destination que quelqu’un voulait atteindre ?
X n’est-il pas déjà passé à Stripe ? Il y avait eu une forte levée de boucliers de la part de personnes qui participaient à des manifestations liées à la Palestine, inquiètes de devoir remettre des pièces d’identité contenant leur adresse personnelle, les données biométriques que Stripe reconnaissait collecter, et d’autres informations à une entreprise directement liée à Israël
Je ne connais pas précisément cette entreprise, mais je sais qu’il est courant que des gouvernements agissent de fait comme des incubateurs pour des entreprises tech, donc ces inquiétudes n’étaient probablement pas infondées
Même si la transition a eu lieu, certains utilisateurs avaient dû se faire vérifier avant, donc X me semble encore concerné. Peut-être même que, puisque des utilisateurs soulevaient ces inquiétudes depuis un bon moment, cela a influencé la décision en interne
Je n’avais aucune idée qu’Uber et TikTok les utilisaient, et je suis content de le savoir. Heureusement, je ne leur ai encore jamais donné mes données biométriques
Pourquoi les informations biométriques d’identité de citoyens américains sont-elles envoyées en Israël ? N’existe-t-il aucune loi encadrant le fait que des informations aussi sensibles quittent les data centers américains ?
Les données des clients américains — numéros de compte, numéros de sécurité sociale et autres informations personnelles — sont disséminées dans le monde entier
Elles peuvent être stockées aux États-Unis, mais des personnes situées dans des régions au coût de la vie plus faible y ont accès
Il m’arrive de penser que ce genre de situation finira par mener à un système de qualification professionnelle légalement exigé pour certaines tâches du développement logiciel
Évidemment, toutes les personnes qui écrivent du code n’ont pas besoin d’un permis de développeur. Dire qu’il faudrait un permis pour tenir un blog ou mettre en ligne un site de blagues sur les fruits n’a aucun sens. Mais si une entreprise traite des informations d’identification personnelle, il faut une véritable ingénierie, et les personnes qui font cette ingénierie devraient aussi être certifiées
C’est assez similaire à la façon dont les licences d’ingénieur ont commencé. Aux États-Unis du moins, cela a été déclenché par le Wyoming, qui en avait assez de voir des gens ne sachant pas ce qu’ils faisaient construire des infrastructures d’eau
Une licence pourrait aussi donner un levier aux ingénieurs individuellement face aux managers ou aux dirigeants qui veulent « aller vite et casser des choses ». Quand on appartient à une profession disposant d’un pouvoir d’approbation exclusif, il devient plus facile de dire : « Il faut le faire correctement. Sinon, écartez-vous, parce que c’est ma responsabilité »
Si l’entreprise dit « très bien, vous êtes viré », puis force la gestion des informations d’identification personnelle et qu’une fuite comme celle-ci se produit, sa responsabilité devient bien plus lourde. Dans l’ensemble, cela irait dans le sens d’un plus grand pouvoir de négociation pour les travailleurs qualifiés qui savent gérer correctement des bases de données d’informations d’identification personnelle ou configurer des endpoints
Les systèmes de licence ont aussi beaucoup de pièges, mais je me demande si un tel mouvement apparaîtra dans les prochaines années
La statistique étonnante, c’est qu’environ la moitié des métiers exigent une licence professionnelle. À certains endroits, il faut une licence pour être fleuriste. Dans quelques États, les designers d’intérieur ou les employés de station-service ont aussi besoin d’une autorisation. Le génie logiciel est une exception totale parmi les métiers bien rémunérés
Je ne pense pas que ce soit une bonne chose, mais c’est le monde dans lequel nous vivons, et il ne faut pas se raconter d’histoires. Beaucoup d’ingénieurs logiciel disent vouloir une réglementation fine et utile, mais la réglementation arrivera en bloc, et les sites web de blagues sur les fruits n’y feront pas exception
Pour les ingénieurs, on ne peut guère aller au-delà d’une formation spécialisée ou de la reconnaissance d’un diplôme. Le gouvernement ne peut pas faire grand-chose de plus
Et aucune licence ne donnera de levier face à la direction générale
Il existe des solutions pour vérifier l’identité sans inclure de scans de documents réels. Peut-être qu’un jour les États-Unis auront aussi des cartes à puce