La croissance rapide de Careem a exposé les données de 14 millions d'utilisateurs aux pirates

Careem était la réponse du Moyen-Orient à Uber — une application de VTC basée à Dubaï qui s'était développée rapidement dans plus d'une douzaine de pays, du Golfe à l'Afrique du Nord, au Pakistan et à la Turquie. Comme d'autres plateformes, elle détenait les données personnelles de millions de clients et des chauffeurs qui les servaient.

Le 14 janvier 2018, Careem a détecté que ses systèmes avaient été compromis. Des pirates avaient accédé aux données de compte d'environ 14 millions de personnes — passagers comme chauffeurs — emportant noms, adresses e-mail, numéros de téléphone et historiques de trajets. Il s'agissait de l'une des plus importantes violations de données signalées dans la région.

Careem n'a pas annoncé la violation immédiatement. Elle l'a rendue publique le 23 avril 2018, soit environ trois mois après la détection, affirmant avoir eu besoin de temps pour enquêter et avoir collaboré avec les forces de l'ordre et des spécialistes de la sécurité. Ce délai a soulevé la question habituelle de la rapidité avec laquelle une entreprise doit informer ses utilisateurs.

Cette affaire rappelle que les plateformes en forte croissance sont des cibles de données avant toute autre chose. Careem s'était lancée dans une course pour ajouter des villes et des utilisateurs, et les informations personnelles qui accompagnaient cette croissance sont devenues un atout pour les attaquants. La leçon est que la sécurité doit évoluer aussi vite que la base d'utilisateurs, et que le moment de la divulgation fait lui-même partie de la réponse.

Careem s'est lancée dans une course pour ajouter des villes et des utilisateurs, accumulant des données personnelles plus vite qu'elle ne renforçait ses défenses, et a retardé de trois mois la divulgation après avoir détecté la violation.

L'expansion rapide de Careem dans de nombreux pays a accumulé les données personnelles de millions de passagers et de chauffeurs plus vite que ses défenses n'étaient renforcées contre les attaquants.

Une plateforme de VTC est une cible de choix : elle détient en un seul endroit les noms, coordonnées et données de déplacement d'une base d'utilisateurs vaste et géographiquement dispersée.

La violation a été détectée en janvier mais divulguée seulement en avril, laissant une fenêtre de trois mois pendant laquelle les utilisateurs concernés ignoraient que leurs données avaient été dérobées.

Le fait de détenir des données à la fois sur les passagers et sur les chauffeurs a doublé l'exposition et signifié que la violation a touché les personnes qui gagnent leur vie grâce à la plateforme, et pas seulement ses clients.

Une plateforme qui se lance dans une course pour ajouter des utilisateurs construit une cible aussi vite qu'une entreprise. Les données personnelles doivent être sécurisées au rythme de la croissance, et en cas de violation, informer rapidement les utilisateurs fait partie de la solution.

Careem a poursuivi ses activités et a ensuite été rachetée par Uber, devenant le cœur de l'activité d'Uber dans la région. La violation est citée dans les discussions sur la sécurité des données au sein des entreprises technologiques à forte croissance des marchés émergents, où le nombre d'utilisateurs peut dépasser les pratiques de sécurité et de divulgation qui devraient les accompagner.