Quand avez-vous vérifié pour la dernière fois, qui à accès à vos fichiers et vos dossiers en ligne : Google Drive, Apple Cloud, Dropbox, Microsoft OneDrive et autres outils de partage?

Avez-vous beaucoup de fichiers et de dossiers avec des accès « Tout le monde avec le lien / Anyone with the link »? Si oui, je vous invite fortement à en restreindre le plus possible l’accès. C’est une faille de sécurité à laquelle on ne songe pas…

Voici un cas de figure qui illustre le danger associé à ces liens vers vos dossiers et fichiers accessibles à « Tous ceux qui ont le lien »

Autour des années 2015, il y a eu beaucoup de vols de donnée auprès de grosses compagnies (DropBox, Adobe, MySpace, Skype). Les bases de données de ces compagnies, incluant les noms d’utilisateur, les adresses courriel et les mots de passe des abonnés, ont été rendues publiques sur les forums de hackeurs. Prenons l’exemple d’un artiste, d’un DJ, dont les fans tentent par tous les moyens de trouver des chansons jamais rendues publiques. Ces fans cherchent sur ces bases de données et trouvent les accès des DJ aux comptes Skype et MySpace. Sur Skype, en fouillant dans le chat, ils trouvent plusieurs liens menant à des dossiers et des fichiers sur Google Drive, en provenance de maisons de production. En parcourant ces dossiers, les fans tombent sur des enregistrements de musique jamais encore publiés, ce qu’ils cherchaient, mais tombent aussi sur des informations personnelles de plusieurs artistes connus (passeport, permis de conduire, adresse postale, date de naissance, etc.). Afin d’empêcher d’autres fans d’accéder aux comptes de leurs artistes préférés, ils contactent les artistes et les maisons de production afin de les inviter à changer leur mot de passe (oui, c’est un peu tordu). Mais juste avant, il s’assure de changer l’accès aux dossiers de partage de « Restreint » à « Tous le monde avec le lien », ce qui leur permet de revenir quand bon leur semble dans les dossiers et d’avoir accès à de nouvelles chansons avant qu’elle soit publique!

Cette pratique est la même que de trouver la clé d’un immeuble dans la poignée de porte, d’en faire une copie, et ensuite aller remettre la clé à son propriétaire et passer pour le bon samaritain!

Pour entendre l’histoire de ce fait vécut, je vous invite à écouter l’épisode Dubsnatch de DarknetDiaries : https://darknetdiaries.com/episode/148/

À faire

1. Accédez à vos comptes et restreignez l’accès à vos dossiers et fichiers : Google Drive, Microsoft OneDrive, Apple Cloud, DropBox, Adobe, etc.
2. Ne laissez jamais des informations confidentielles ni sur vous ni sur les autres sur les applications de partage de fichiers : permis de conduire, passeport, adresse postale, numéro de téléphone, date de naissance, etc. Ni aucune information stratégique sur votre organisation.
3. Fermer les comptes que vous n’utilisez plus. La plupart des compagnies ont ajouté quelque part dans les paramètres un bouton « Supprimer mon compte ». Sinon, vous pouvez leur écrire et en faire la demande. Selon, la loi, vous avez le droit de fermer vos comptes.

Si vous avez des questions, n’hésitez pas à nous contacter support@zaa.cc