Une douche froide pour l'éditeur russe spécialisé dans la reconnaissance optique de caractères et la numérisation
203 896 documents numérisés. C'est l'ampleur de la fuite subie puis rendue publique par Abbyy ce mois-ci. Près de 204 000 fichiers appartenant à l'un des clients de l'éditeur, pour certains sensibles (contrats, notes de service, accords de non divulgation, noms d'utilisateurs et mots de passe cryptés, etc.), avaient été stockés sur un serveur MongoDB configuré par erreur avec un accès public, sans aucun mot de passe.
La faille détectée par hasard
TechCrunch rapporte que la faille de sécurité a été découverte par hasard par Bob Diachenko, un expert en cybersécurité qui en a d'abord averti Abbyy début août avant de relayer l'affaire dans un article de blog ce lundi 27 août. Un coup dur pour l'éditeur russe, spécialiste de numérisation et de reconnaissance optique de caractères (OCR), qui compte plus de 50 millions d'utilisateurs à travers le monde (Abbyy s'enorgueillit de compter parmi ses clients MacDonalds, Volkswagen ou encore PepsiCo).
Un seul client concerné
Prévenu, Abbyy a immédiatement déconnecté le serveur avant de confirmer la faille de sécurité dans un mail ce lundi. "L'incident en question concerne un client plutôt que plusieurs clients et des fichiers contenant des informations commerciales", a déclaré la porte-parole d'Abbyy Anna Ivanova-Galitsina dans le communiqué. "Le client a été dûment informé et nous coopérons sur des mesures correctives". Et d'ajouter (de façon à rassurer tous leurs clients actuels et futurs : "Dès que [Diachenko] nous a prévenus, nous avons verrouillé l'accès externe aux documents. Nous avons effectué toutes les notifications requises par la loi, effectué un examen complet de la sécurité de nos infrastructures, processus et procédures".
Des serveurs "publics" par défaut
Abbyy, qui a déclaré que cette fuite de documents était "un incident unique et ne compromettant aucun autre service, produit ou client de l'entreprise", a tout de même précisé qu'une "analyse plus approfondie était en cours". Le nom du client concerné n'a pas été dévoilé.
TechCrunch précise que si le logiciel de base de données MongoDB est réputé pour ses capacités d'évolution et sa polyvalence, d'anciennes versions, encore utilisées aujourd'hui, fonctionnent par défaut sans mot de passe. L'an dernier, ces failles de sécurité ont fait le bonheur de nombreux pirates informatiques.
