Cette #startup française partenaire de l’#ÉducationNationale a laissé fuiter 20 000 données

Une plateforme d'aide aux projets, qui travaille avec les Caf et l'Éducation nationale, a laissé fuir des milliers de données. La fuite a été réparée, apparemment sans avoir été utilisée par des malfaiteurs. Mais elle est symbolique de la difficulté des petites entreprises à comprendre les enjeux de la cybersécurité.


Des milliers de prénoms et noms, d’emails, et de messages échangés sur la plateforme. Fin janvier, un chercheur en cybersécurité nous alerte sur la fuite de données d’une startup d’aide aux projets de « jeunes entre 13 et 30 ans ». Les serveurs, ces machines qui stockent les données, contiennent des données de mineurs, mais sont ouverts. Les informations sont donc accessibles sur le web à qui aura l’adresse, le tout sans identifiant ni mot de passe. Il ne s’agit pas d’un piratage, il suffit de se connecter au bon endroit, la porte est ouverte. Si des personnes mal intentionnées mettent la main sur ce genre de données, elles peuvent l’exploiter pour leurs pratiques malveillantes, du vol d’argent jusqu’à l’usurpation d’identité.

Avertie par le chercheur, Wweeddoo, une startup d’une dizaine de salariés, n’a pas répondu. Nous l’avons donc nous-mêmes contactée et elle a fini par réagir. Six jours plus tard, les dirigeants avaient définitivement colmaté la fuite. Ils ont ensuite accepté de se livrer pour Cyberguerre à un exercice de transparence, et de nous raconter leur gestion de la crise depuis l’intérieur.

« Nous n’avons pas vocation à diffuser les données et nous ne les commercialisons pas. Nous ne voulons pas que cet événement impacte notre fiabilité à terme », espère Laurent Lescure, président et cofondateur de l’entreprise.

PLUS DE 20 000 LIGNES DE DONNÉES ACCESSIBLES DEPUIS MON NAVIGATEUR WEB

Début janvier, un chercheur en cybersécurité indépendant nous contacte. Il a trouvé une fuite de données sur trois serveurs, et l’entreprise concernée ne répond pas à son email de signalement. En tout, plus de 20 000 données sont visibles, directement sur un navigateur web, par n’importe quelle personne qui disposerait de l’adresse du serveur — une URL composée de 13 chiffres, séparés par des points.

Le chercheur nous a communiqué ces adresses, pour que nous parcourions les bases de données nous-mêmes. Selon les serveurs, nous trouvons des adresses email, des noms, des dates de naissance et des messages échangés sur le site.

L’expert en cybersécurité nous explique : quand il trouve ce genre de fuite, il ne sait pas d’emblée à quel site appartiennent les données. Il doit les analyser pour identifier quelle entreprise fuit. La vérification finale consiste à simplement utiliser la fonctionnalité « réinitialiser le mot de passe » du site sur plusieurs adresses email, pour confirmer que les adresses de la fuite correspondent à des comptes liés au site.

Dans notre cas, les données proviennent du site de wweeddoo.com. Cette startup, créée en 2015, a construit une plateforme en ligne de mise en relation entre des « jeunes » (de 13 à 30 ans) et des organisations (administrations, entreprises, associations…). Elle est lauréate d’un financement décerné par la Caisse des Dépôts, en partenariat avec l’Éducation nationale, et est estampillée de deux labels soutenus par l’État, French Tech et Tech for Good.

WWEEDDOO ENCADRE LES TRANSACTIONS FINANCIÈRES ENTRE DES ORGANISATIONS ET DES PERSONNES, POUR CERTAINES MINEURES

Wweeddoo fonctionne de façon similaire aux sites de financement participatif comme Kickstarter, KissKissBankBank ou Ulule. Elle accompagne des porteurs de projets, qui créent une page détaillée sur leur site. La startup se distingue principalement de ses concurrents en proposant aux « jeunes » de demander non seulement du financement, mais aussi des conseils, des contacts ou du matériel.

Lire la suite sur : Cyberguerre.numerama.com