Les ports ouverts de MacKeeper dévoilent 13 millions de comptes

Assigné en justice aux États-Unis pour les pratiques commerciales associées à l’exploitation de son logiciel MacKeeper, ZeoBIT a connu un autre souci cette semaine : un défaut de protection des données personnelles de ses clients. L’alerte a été lancée lundi sur Reddit par le dénommé Chris Vickery.

Sous le pseudo « FoundTheStuff », ce chercheur en sécurité a expliqué, capture d’écran à l’appui, avoir pu accéder à une base MongoDB contenant des informations sensibles liées à 13 millions de comptes. Essentiellement des utilisateurs de MacKeeper, mais aussi d’autres solutions développées par ZeoBIT et sa maison mère Kromtech – basée en Allemagne.

Noms, numéros de téléphone, adresses e-mail, IP publiques, informations de licence, historique des produits achetés… Autant d’éléments accessibles tels quels, sur le web, en clair, sans aucun mot de passe. Chris Vickery a délibérément entretenu le flou aussi longtemps que la base de données en question n’avait pas été sécurisée.

Plus de 24 heures se sont écoulées entre sa publication sur Reddit et la réaction de Kromtech, resté injoignable entretemps. Mardi dans la journée, l’éditeur lui confirme que l’incident est clos. Mais dans la foulée, le chercheur découvre trois adresses IP supplémentaires sur lesquelles des informations restent accessibles.

Des ports ouverts vers les données sensibles

Une fois ce deuxième problème résolu, Chris Vickery explique son mode opératoire : c’est en lançant « par hasard » la requête « port:27017 » sur le Shodan.io (moteur de recherche sur les objets connectés à Internet) qu’il s’est aperçu que le moteur avait indexé les IP des instances MongoDB, les laissant en accès libre.

Du côté de Kromtech, on assure, sur une page d’information mise en place pour l’occasion, que personne à part Chris Vickery n’a accédé à la base de données. Tout en précisant qu’aucun numéro de carte bancaire n’a pu être exposé, les paiements étant gérés par un tiers.

Au-delà de MacKeeper, le plus inquiétant, explique ITespresso c’est cette déclaration de Chris Vickery, qui affirme avoir « trouvé, ces deux dernières semaines, pas moins de 25 millions de comptes utilisateurs laissés sans protection par différents services en ligne ».

Logiciel de maintenance pour les systèmes OS X, MacKeeper est connu comme un loup blanc. Certains se demandent quelle est son utilité, hormis collecter des données. Il faut dire que certains comportements le rapprochent d’un malware…

A lire aussi :

Haro sur la sécurité des Mac d’Apple
Bloatware : des millions de PC Lenovo, Dell et Toshiba piratables

Crédit Photo : Andrei Lishnesky- Shutterstock