Une faille de sécurité significative impliquant une entreprise américaine de technologie gouvernementale a été identifiée après que le chercheur en cybersécurité Jeremiah Fowler ait découvert une base de données ouverte accessible à quiconque disposant d'un navigateur web. Le référentiel exposé, lié à CitySourced, contenait environ 42 millions de documents et 450 000 fichiers JSON contenant des informations personnellement identifiables (PII) en texte clair. Bien que les enregistrements consistaient principalement en images liées à des plaintes ou à des rapports d'infractions au code, l'analyse a révélé qu'ils comprenaient également les noms des individus, leurs adresses postales, leurs adresses e-mail et leurs numéros de téléphone.
La base de données contenait des milliers d'enregistrements internes datant de 2016 à 2026, présentant un risque substantiel car de telles données sont souvent utilisées par les cybercriminels pour des campagnes de hameçonnage ciblées ou vendues sur le dark web. Fowler a noté que le référentiel contenait divers répertoires d'applications, notamment Api, Customers et FileStorage, ainsi que plusieurs fichiers .sdk et .exe qui semblaient déplacés et pourraient suggérer une tentative de planter un logiciel malveillant. CitySourced, fondée en 2009 et par la suite acquise par Granicus après sa fusion avec Rock Solid Technologies, développe des logiciels permettant aux résidents de signaler des problèmes locaux comme les nids-de-poule ou les lampadaires défectueux aux autorités municipales.
Suite à la notification de la vulnérabilité, CitySourced a sécurisé la base de données et reconnu les efforts du chercheur. Une déclaration de l'entreprise indiquait que Granicus avait examiné les informations fournies, mené une enquête interne et prenait des mesures pour résoudre le problème. Fowler a souligné que, bien qu'il ne puisse pas déterminer si un sous-traitant tiers gérait l'infrastructure, l'incident met en évidence les risques persistants associés au stockage cloud mal configuré.
La faille souligne la prévalence des fuites de données causées par des erreurs de configuration, où les entreprises peuvent supposer à tort que leurs fournisseurs de cloud sont seuls responsables de la sécurité ou rester inconscientes des données exposées. Pour atténuer ces risques, Fowler recommande que les organisations segmentent les environnements clients et les données internes pour assurer l'isolement des locataires. Il a en outre conseillé que les systèmes de stockage, les sauvegardes et les données sensibles doivent être cryptés et protégés contre l'accès non autorisé grâce à des contrôles d'accès robustes. Pour les particuliers, le chercheur a suggéré de maintenir un scepticisme envers les e-mails non sollicités contenant des liens ou des pièces jointes, étant donné la probabilité que des données personnelles aient déjà été compromises lors de failles passées.
Sources: TechRadar.