Dans un autre cas de fuite accidentelle de données, les identifiants de connexion de plus de 540 000 enregistrements appartenant à la société de dispositifs de suivi de véhicules SVR Tracking service ont fuité en ligne en raison d'un serveur cloud mal configuré , exposant potentiellement les données personnelles et les détails des véhicules des conducteurs et des entreprises utilisant son service.
SVR (Stolen Vehicle Records) Tracking, une entreprise qui prétend se spécialiser dans la « récupération de véhicules » permet à ses clients de suivre leurs véhicules en temps réel en attachant un dispositif de localisation physique aux véhicules dans un endroit discret, afin qu'ils puissent les surveiller et les récupérer dans en cas de vol de leurs véhicules.
D'après les chercheurs du Kromtech Security Center, qui ont découvert la faille, les données exposées comprenaient les identifiants de compte des utilisateurs de SVR (adresses e-mail, mots de passe, données des véhicules comme les numéros VIN et les plaques d'immatriculation, numéros IMEI des appareils GPS, etc.) ainsi que d'autres données collectées sur leurs appareils, leurs clients et les concessions automobiles. Ces données ont été divulguées via un compartiment de stockage cloud Amazon S3 non sécurisé et accessible publiquement.
Il est intéressant de noter que la base de données compromise contenait également des informations sur l'emplacement précis du dispositif de suivi dans le véhicule. Les chercheurs ont souligné que les mots de passe divulgués étaient protégés par l'algorithme de hachage SHA-1, faible et facile à pirater.
Selon Kromtech, le nombre total d'appareils exposés "pourrait être beaucoup plus important étant donné que de nombreux revendeurs ou clients disposaient d'un grand nombre d'appareils à suivre".
« À l'ère où le crime et la technologie vont de pair, imaginez le danger potentiel si les cybercriminels pouvaient découvrir où se trouve une voiture en se connectant avec les informations d'identification qui étaient publiquement disponibles en ligne et voler cette voiture ? Le nombre total d'appareils pourrait être beaucoup plus important étant donné que de nombreux revendeurs ou clients disposaient d'un grand nombre d'appareils pour le suivi », a déclaré le chercheur de Kromtech, Bob Diachenko, dans un blog.
Le compartiment Amazon S3 a été sécurisé après que Kromtech a contacté SVR et l'a alerté de la violation. Cependant, on ne sait toujours pas combien de temps les données sont restées librement exposées. Il n'est pas non plus certain que les données accessibles au public aient été éventuellement consultées par des pirates informatiques ou non.
