Commeasure, la société singapourienne qui exploite le site de réservation hôtelière RedDoorz, a appris le 19 septembre 2020, par une entreprise américaine de cybersécurité, que des données clients avaient fuité. Les données personnelles de près de 5,9 millions de clients d'Asie du Sud-Est, principalement d'Indonésie et environ 9 000 de Singapour, comprenaient des noms, des numéros de contact, des adresses e-mail, des dates de naissance, des mots de passe de compte chiffrés et des informations de réservation. Les données étaient proposées à la vente sur un forum de pirates. Les numéros de carte de crédit masqués n'ont pas été consultés.
La PDPC de Singapour a conclu que les pirates avaient probablement accédé à la base de données cloud Amazon de l'entreprise au moyen d'une clé d'accès AWS intégrée dans un paquet d'application Android (APK) que Commeasure avait créé en 2015. L'intégration de clés dans le code va à l'encontre des recommandations d'AWS, la clé était incorrectement étiquetée comme « clé de test », et l'APK, bien que considéré comme obsolète, est resté téléchargeable sur Google Play jusqu'à la découverte de la violation.
Parce que l'APK était considéré comme obsolète, il a été exclu de l'audit de sécurité et des tests que Commeasure avait commandés de septembre à décembre 2019, ainsi que d'un outil de sécurité qui aurait pu empêcher la découverte de la clé. La PDPC a attribué cela à une négligence dans la tenue d'un inventaire des actifs informatiques en production, et a déclaré que les audits n'étaient pas suffisamment rigoureux. Elle a infligé à Commeasure une amende de 74 000 S$ dans un jugement rendu le 11 novembre 2021.
Les données d'environ 5,9 M de clients ont fuité ; la PDPC a infligé à Commeasure une amende de 74 000 S$ en novembre 2021 pour la plus grande violation de données de Singapour au titre de la PDPA
Une clé d'accès AWS était intégrée directement dans un paquet d'application, contre le conseil d'AWS lui-même de ne pas placer de clés dans le code.
La clé était mal étiquetée comme « clé de test », ce qui la faisait paraître inoffensive.
L'APK était considéré comme obsolète, il ne figurait donc pas dans l'inventaire des actifs informatiques et était exclu de l'audit de sécurité de 2019.
La PDPC a conclu que les audits de sécurité périodiques étaient inutiles pour cette exposition parce que l'APK concerné n'a jamais été inclus dans leur périmètre.
La leçon
Un actif oublié reste une surface d'attaque. Si une application ou une clé « obsolète » ne figure pas dans l'inventaire informatique, elle échappe à tout audit de sécurité, et les attaquants n'ont besoin de la trouver qu'une seule fois.
La PDPC a pris en compte les difficultés que la pandémie avait causées au secteur hôtelier et les mesures correctives de l'entreprise pour fixer l'amende de 74 000 S$, bien en dessous du plafond de 1 M S$ alors en vigueur et du total de 1 M S$ imposé à SingHealth et IHiS pour la violation de 2018. Après l'incident, Commeasure a limité l'accès à la base de données en production aux adresses IP figurant sur une liste blanche et a ajouté l'authentification à deux facteurs pour les outils de développement. Tous les développeurs, sauf un cofondateur et le directeur technique, avaient quitté l'entreprise au moment de la décision.
VÉRIFIEZ LES SOURCES
Les sources
- Data of 5.9m customers of RedDoorz hotel booking site leaked in Spore's largest data breach The Straits Times · straitstimes.com ·