Une faille de sécurité majeure chez AngelSense, une entreprise de technologie d’assistance fournissant des appareils de suivi GPS pour les personnes en situation de handicap, a récemment été découverte par les chercheurs en sécurité d’UpGuard. Cette brèche a exposé sur internet, sans aucune protection, les données personnelles identifiables ainsi que les données de localisation précises de milliers d’utilisateurs suivis.
Un serveur non sécurisé laissant les données à la merci des pirates
UpGuard a constaté qu’AngelSense avait laissé une base de données interne exposée sur internet sans mot de passe. N’importe qui, muni simplement d’un navigateur web et connaissant l’adresse IP publique de la base, pouvait accéder aux données. Cette base stockait des journaux de mise à jour en temps réel du système AngelSense, contenant :
- Les informations personnelles des clients comme les noms, adresses postales et numéros de téléphone
- Les coordonnées GPS des personnes suivies, associées à des informations de santé comme l’autisme ou la démence
- Les adresses email, mots de passe et jetons d’authentification des comptes clients, ainsi que des données de carte de crédit partielles, le tout stocké en clair
La durée exacte de l’exposition et le nombre de clients touchés restent inconnus. Mais selon Shodan, un moteur de recherche pour les appareils et systèmes connectés à internet, la base de données d’AngelSense était visible en ligne depuis au moins le 14 janvier.
AngelSense minimise l’incident malgré la gravité de la fuite
Le PDG d’AngelSense, Doron Somer, a confirmé que la société avait sécurisé le serveur exposé après avoir initialement pris le premier email d’UpGuard pour du spam. Il a déclaré à TechCrunch :
Nous n’avons aucune information suggérant que les données du système de journalisation aient pu être consultées par quelqu’un d’autre qu’UpGuard. Nous n’avons pas non plus d’indication que les données aient été utilisées à mauvais escient ou soient menacées de l’être.
– Doron Somer, PDG d’AngelSense
Somer a affirmé que les données exposées n’étaient « pas des informations personnelles sensibles », ce qui semble minimiser la gravité de l’incident au vu des éléments identifiés par UpGuard. Il est resté évasif sur les moyens techniques dont dispose l’entreprise pour déterminer s’il y a eu des accès non autorisés au serveur avant la découverte d’UpGuard.
Notifications aux personnes concernées pas encore confirmées
Interrogé sur l’intention d’AngelSense de notifier les clients et les personnes dont les données ont été exposées, Somer a indiqué que l’entreprise enquêtait encore. « Si un avis aux régulateurs ou aux personnes est justifié, nous le fournirons bien sûr », a-t-il déclaré, sans plus de précisions.
Les expositions de bases de données résultent souvent d’erreurs de configuration humaines plutôt que d’intentions malveillantes. Mais elles sont devenues de plus en plus fréquentes ces dernières années, conduisant au déversement d’emails militaires sensibles, à la fuite en temps réel de SMS contenant des codes d’authentification à deux facteurs ou encore d’historiques de discussion avec des chatbots IA.
Cette fuite de données chez AngelSense soulève de sérieuses inquiétudes quant à la sécurité des informations les plus sensibles confiées à l’entreprise par des personnes vulnérables et leurs aidants. Elle rappelle l’importance cruciale pour toutes les organisations de mettre en place des mesures de protection robustes et de réagir avec transparence et diligence en cas d’incident.
