Près de 38 millions de données ont été exposées par un logiciel de Microsoft

Un défaut de configuration dans un logiciel Microsoft a rendu 38 millions de données de grands groupes américains vulnérables. Cela concerne American Airlines, J. B. Hunt, Ford, et bien d’autres.

Ce lundi, la société de sécurité informatique UpGuard a publié le compte-rendu d’une enquête qui a été menée pendant plusieurs mois. On y apprend que des millions de noms, d’adresses, de numéros d’identification fiscale et bien plus d’informations confidentielles, ont été exposés. On remarque toutefois que ces données n’ont pas été compromises, et le problème a maintenant été résolu.

Plusieurs grands groupes américains, comme American Airlines, Ford et les transports publics de la ville de New York, ont été concernés par cette affaire. Et toutes ces entreprises ou organisations utilisaient le logiciel Microsoft Power Apps, qui permet de créer des sites internet et des apps destinés au grand public.

Un défaut de configuration qui mettait en danger les données des entreprises

Dans le rapport de UpGuard repris par Les Echos, on peut lire que la configuration de Power Apps par défaut n’assurait pas la protection de certaines données. Un problème que les chercheurs de la société de sécurité informatique a découvert en mai dernier, et qui a été corrigé depuis. « Grâce à nos recherches, Microsoft a depuis modifié les portails de Power Apps », indiquent les chercheurs de UpGuard.

De son côté, Microsoft a réagi en avançant qu’il faisait de la sécurité et de la confidentialité de ses clients une priorité. Le géant de l’informatique a aussi rappelé qu’il informait systématiquement ses clients lorsque de potentiels risques de fuites de données étaient identifiés.

UpGuard recommande toutefois de changer le logiciel en fonction de la façon dont les clients s’en servent, plutôt que de « considérer le manque généralisé de confidentialité des données comme une mauvaise configuration par l’utilisateur, ce qui fait perdurer le problème et expose le public à des risques ».

La société de sécurité informatique termine en déclarant que : « le nombre de comptes où des infos sensibles étaient vulnérables montre que le risque lié à cette fonctionnalité – la probabilité et l’impact d’une mauvaise configuration – n’avait pas été pris en compte de façon adéquate ».