Les bases de données de trois services VPN pour Android ont été piratées et les informations relatives à plusieurs millions d'utilisateurs ont été mises en vente.
Voilà une affaire pour le moins ironique. Si l'un des buts fondamentaux d'un service VPN est précisément de renforcer la sécurité de sa vie privée, les données personnelles de 21 millions d'utilisateurs Android se retrouvent désormais en vente.
21 millions de personnes affectées
Le magazine CyberNews, qui rapporte l'information, précise que les services SuperVPN, GeckoVPN, et ChatVPN ont été hackés. Ces éditeurs conçoivent une application VPN à destination des utilisateurs d'appareils Android.
À en juger par les chiffres du Play Store, SuperVPN aurait été téléchargé au moins 100 millions de fois tandis que GeckoVPN compte plus d'un million d'installations. De son côté ChatVPN a été choisi par 50 000 utilisateurs.
Un hacker a pu récupérer plusieurs données personnelles et les commercialise sur un forum. Au total, plus de 21 millions d'utilisateurs sont affectés. SuperVPN, GeckoVPN et ChatVPN n'ont pas commenté ce piratage.
Trois archives sont mises en vente. Le hacker donne même la possibilité de trier ces données en fonction des pays. Il affirme que parmi les informations personnelles collectées se trouvent :
- les adresses e-mail ;
- les noms d'utilisateur ;
- les noms complets ;
- les pays de résidence ;
- les chaînes de mots de passe générées de manière aléatoire ;
- les données relatives au paiement ;
- le statut des membres premium avec la date d'expiration de leur souscription.
La sécurité des VPN remise en cause
CyberNews a pu récupérer un échantillon de ces données, lesquelles incluent également les informations relatives à l'appareil utilisé, et notamment le numéro de série, le type de smartphone, l'identifiant unique ainsi que les numéros IMSI.
Le hacker explique que ces données ont été exfiltrées de bases de données disponible « publiquement ». Plus précisément, ces dernières auraient été laissées vulnérables par les administrateurs qui ne se seraient pas donné la peine de modifier les identifiants et mots de passe par défaut.
Ce hack pose plusieurs problèmes. Tout d'abord, il semblerait que ces prestataires de services n'aient pas été totalement transparents envers leurs utilisateurs et collectent finalement bien plus de données qu'annoncé au sein de leur politique de vie privée.
Bien évidement, si le VPN sert à notamment à assurer une meilleure protection de sa vie privée, on s'interroge également sur les pratiques de ces éditeurs et sur la véracité des propos du hacker concernant l'accès à ces bases de données.
Source : CyberNews
