Les serveurs mal configurés sont fréquemment impliqués dans des fuites de données massives. Les chercheurs de VPN Mentor ont ainsi repéré une fuite de données chez Gekko, une filiale du groupe AccorHotel. Cette société se spécialise dans la mise en place de plateforme de booking pour les hôtels du groupe. C’est donc essentiellement des données de réservations qui se sont retrouvées exposées suite à l’erreur de la société.
« La base de données en question était importante et contenait un peu plus d’un téraoctet de données », expliquent les chercheurs de VPNMentor dans un post de blog. Au sein des données concernées, on retrouve des données personnelles de clients, des données de réservation, des identifiants de connexion pour les différentes plateformes du groupe Gekko et des données de carte bancaire.
publicité
Gekko minimise la portée de la fuite
VPNMentor signale également avoir retrouvé des données provenant de sources externes au sein de la base de données exposée : les systèmes communiquent en effet avec des partenaires externes tels que Booking.com et pouvaient dans certains cas récupérer les données provenant de ces systèmes partenaires.
L’essentiel des données provient du système Teldar Travel, une plateforme de gestion des réservations mise en place pour les agences de voyages et les professionnels, ainsi que d’une base de données appartenant à Infinite Hotel, une autre société du groupe Accor qui joue le rôle de centrale hôtelière pour les professionnels.
Auprès du Parisien, le dirigeant de Gekko minimise la portée de la fuite de données en indiquant ainsi que les données de carte bancaire exposées ne contenaient pas le cryptogramme visuel nécessaire pour payer en ligne. Le dirigeant confirme néanmoins la fuite de données et indique que le problème a depuis été résolu et la CNIL contactée dans les délais pour signaler la fuite.
VPN mentor explique sur son blog avoir découvert la fuite de donnée le 7 novembre et avoir par la suite tenté de contacter le groupe Accor Hotel. Le groupe est entré en contact avec VPNMentor le 13 novembre et a corrigé la faille de sécurité dans la foulée.
Comments