GMO Trust Login : fuite de données de 45 030 personnes

GMO GlobalSign a annoncé le 30 octobre qu'une erreur de configuration de son service d'authentification unique GMO Trust Login a exposé les noms, adresses électroniques et autres données de 2 492 entreprises clientes, soit 45 030 personnes.

L'origine tient à un choix de conception : des fichiers temporaires contenant des informations clients étaient stockés dans le même espace public que les images de logos. Vers le 14 novembre 2017, l'entreprise avait basculé le stockage vers cet espace pour absorber la charge liée à la diffusion des logos. Il suffisait de consulter la liste des fichiers pour télécharger chacun d'eux, et les liens n'avaient ni signature ni date d'expiration. Selon l'entreprise, les fichiers étaient accessibles de l'extérieur d'environ novembre 2017 jusqu'au blocage, le 15 septembre 2026.

Les données concernées

Deux types de fichiers sont en cause. Les premiers ont été créés par le système lorsque les administrateurs clients lançaient des opérations groupées : définition de mots de passe par délégation, enregistrement d'attributs personnalisés ou ajout de membres en masse. Ces fichiers modèles et fichiers d'erreur contenaient adresses électroniques, noms, noms des applications connectées et attributs comme le numéro d'employé ou le service. Ils concernent 2 184 entreprises et 44 836 personnes.

Les seconds sont des fichiers contractuels de GMO GlobalSign : identifiant d'entreprise, nombre de licences, usage, date de résiliation, ainsi que nom, adresse, téléphone et courriel du contact de facturation. Les données de contacts de facturation ont été récupérées pour 217 entreprises et 194 personnes, auxquelles s'ajoutent 91 entreprises non identifiables. Les mots de passe de connexion, questions secrètes, données d'authentification multifacteur, mots de passe des services connectés et informations de paiement ne figuraient pas dans ces fichiers.

Détection et mesures

Un chercheur en sécurité externe a signalé la faille le 14 septembre via le programme de signalement de vulnérabilités. L'accès extérieur a été coupé à partir de la nuit suivante, jusqu'à l'après-midi du lendemain. Les journaux attestent des téléchargements par des tiers dès le 8 juin 2021 ; avant, il n'existe pas de journaux, mais ces années ont été incluses. L'enquête de GMO Cybersecurity by Ierae, société du même groupe que l'entreprise présente comme un organisme externe, estime que les fichiers ont pu être récupérés à des fins malveillantes.

Les chiffres dépassent les valeurs provisoires du premier communiqué du 16 septembre, des fichiers manquants et une erreur dans les critères d'évaluation ayant été découverts. Les tests d'intrusion réguliers portaient sur les applications et les serveurs, pas sur le stockage, d'où une détection tardive.

L'entreprise utilise désormais des liens signés valables une heure et a désactivé partout l'affichage de la liste des fichiers. Les logos passeront par un système de diffusion dédié limité à certains types de fichiers ; les fichiers clients seront supprimés automatiquement selon leur durée de conservation, et des audits externes couvriront deux fois par an l'ensemble du cloud.