Posté le février 10, 2020 à 14:13

DES DONNÉES PERSONNELLES DE PLUS DE 6,4 MILLIONS D’ISRAÉLIENS EXPOSÉES

Selon certaines informations, le parti au pouvoir du Premier ministre israélien Benjamin Netanyahu aurait exposé par erreur les informations personnelles d’environ 5,5 millions d’Israéliens. Le rapport indique que la fuite pourrait être le résultat d’une mauvaise configuration de l’application le jour des élections.

Le développeur de Verizon Media, Ran Bar-Zik, né en Israël, a découvert cette fuite, mais il n’est pas certain que l’exposition ait été faite par des personnes non autorisées avant qu’il ne découvre et expose la fuite. L’enquête sur la fuite est toujours en cours, et Bar-Zik examine toujours les détails de l’exposition pour découvrir ce qui s’est réellement passé. Les médias locaux Ynet, Calcalist et Haaretz ont également fait état des découvertes de Bar-zik.

Contenu de la base de données

Il semble que le backend soit une passerelle vers une base de données qui contient les détails et les informations personnelles de plus de 6 millions de citoyens israéliens, qui sont tout à fait éligibles pour participer aux prochaines élections israéliennes.

La presse locale a déclaré que la base de données exposée est une copie de la base de données des électeurs israéliens, qui est donnée à chaque parti politique pour les aider à préparer les campagnes avant les élections.

Bar-Zik a déclaré que la base de données contient plusieurs informations personnelles importantes, que n’importe quel hacker pourrait utiliser pour causer de sérieux dommages. La base de données contient des informations telles que les noms complets des Israéliens, leurs préférences politiques, leur âge, leur sexe, leur adresse, les numéros de leurs cartes d’identité, ainsi que leurs numéros de téléphone.

Actuellement, le site officiel de l’application électorale n’est plus disponible, et il a été extrait du cache des principaux moteurs de recherche tels que Bing et Google. Il a été supprimé pour empêcher tout accès ultérieur au point d’extrémité de l’API et au code source du site web.

M. Bar-Zik a souligné qu’il n’est pas certain que quelqu’un ait profité de la fuite pour voler les informations personnelles des électeurs dont les coordonnées figurent dans la base de données.

Comment la fuite a été découverte

M. Bar-Zik a déclaré avoir découvert la fuite alors qu’il effectuait un audit de sécurité sur une application Elector, qui est une application développée par le logiciel électoral Lukid.

M. Bar-Zik a également déclaré qu’il avait commencé à enquêter sur l’application lorsque les médias locaux ont parlé de certains problèmes liés à la vie privée concernant l’application ces derniers temps. Au cours des dernières semaines, la presse s’est penchée sur la question de l’application afin de permettre aux utilisateurs d’inscrire d’autres utilisateurs aux nouvelles diffusées par SMM, en demandant le consentement des utilisateurs.

La plupart de la presse locale a rapporté que le parti Lukid a permis à l’application de donner un accès facile aux partisans politiques pour un abonnement aux nouvelles par SMS pendant les élections législatives israéliennes qui auront lieu le mois prochain.

M. Bar-Zik a révélé dans un billet de blog qu’eleccto.co.il, le site web où les utilisateurs peuvent télécharger l’application, contient trop d’informations qu’il ne devrait pas être autorisé à avoir. Selon lui, le niveau d’information va au-delà de quelque chose de général, mais il y a aussi des données privées.

M. Bar-Zik a également signalé que le code source du site web contient un lien vers le point final de l’API qui devrait être utilisé pour l’authentification des administrateurs du site.

Il a en outre souligné que les développeurs du site web ont exposé le point d’extrémité de l’API sans le protéger par un mot de passe. Cette vulnérabilité permettait à quiconque de se connecter au système et d’obtenir des informations personnelles hautement confidentielles sans aucune restriction.

Lorsque les requêtes sont envoyées au point d’extrémité de l’API, elles renvoient généralement des informations sur les administrateurs du site web, qui comprennent des mots de passe en texte clair.

Dans un récent article, M. Bar-zik a déclaré que les développeurs de l’application avaient fait deux fois d’énormes erreurs. Il a dit que les développeurs avaient fait une énorme erreur en permettant à un point d’extrémité de l’API d’être ouvert et vulnérable sans la moindre mesure de protection. Il a dit qu’ils auraient dû fournir un mot de passe fort sur le point d’extrémité de l’API au lieu de le laisser sans aucun mot de passe.

Les développeurs ont également échoué une nouvelle fois parce qu’ils n’ont pas ajouté une deuxième option de sécurité à la base de données. Ils auraient dû utiliser une authentification à double facteur pour sécuriser les comptes d’administration. Selon M. Bar-zik, ce sont deux erreurs qui ne devraient pas se produire, compte tenu du grand nombre de données en jeu.

L’année dernière, on a signalé que les bases de données des électeurs de certains pays, dont l’Équateur et le Chili, avaient été exposées. Mais cette exposition récente est plus importante en raison de la position d’Israël au Moyen-Orient.