Une application iOS que les parents peuvent utiliser pour surveiller l’activité des enfants sur les appareils Apple a exposé en clair les mots de passe liés aux comptes Apple ID en raison des données stockées sur un serveur non protégé.
Une publication de ZDNet révèle que TeenSafe, une application dont le but est d’offrir, ironiquement, la surveillance des adolescents, comme les messages échangés, l’emplacement, les appels et la navigation Web, a stocké les mots de passe en clair sur un serveur hébergé sur Amazon Web Services.
Alors que l’entreprise affirme avoir 1 million de parents utilisant son service, au moins 10 200 enregistrements auraient été stockés sur le serveur exposé. Les informations disponibles sans le mot de passe incluaient les adresses e-mail des parents et des adolescents, ainsi que les mots de passe pour ces derniers.
Ce qui est encore plus inquiétant, c’est que TeenSafe, malgré la manipulation d’informations si critiques, obligeait les parents à désactiver l’authentification à deux facteurs pour un compte Apple ID qu’ils souhaitaient surveiller, afin de pouvoir accéder aux informations sans avoir à demander l’accès à l’autre appareil. Cela signifie que si les hackers obtenaient l’accès aux Apple ID exposés, ils étaient capables de se connecter facilement.
Serveur déjà sécurisé
D’un autre côté, aucune donnée personnelle n’était stockée sur les serveurs, comme des photos, des messages ou des données de localisation, mais avec un Apple ID, des acteurs malveillants auraient pu obtenir de plus amples informations sur les comptes compromis.
Un représentant de TeenSafe a déclaré à la source citée que la société avait déjà sécurisé le serveur non protégé et qu’elle notifiait maintenant aux comptes concernés que d’autres mesures de sécurité, comme la modification des mots de passe, pourraient être nécessaires. « Nous avons pris des mesures pour fermer un de nos serveurs au public et commencé à alerter les clients qui pourraient potentiellement être touchés », a déclaré un porte-parole de TeenSafe.
La société est évidemment restée discrète sur d’autres détails concernant la violation, mais il sera intéressant de savoir combien de comptes ont été exposés, et si les données stockées sur d’autres serveurs étaient réellement protégées.
