Exposition De Données

🔍 Contexte Publié le 14 août 2026 par Starknex (https://www.starknex.com/news-media/billgate-dataverse-powerpages-exfilsquad-research), cet article présente les résultats d’une recherche en sécurité portant sur deux expositions distinctes mais liées affectant Microsoft Dataverse et Microsoft Power Pages (anciennement Power Apps Portals). ⚠️ Exposition 1 : Dataverse Default environments + comptes invités (B2B) Les environnements Dataverse par défaut ne peuvent pas se voir attribuer un groupe de sécurité, rendant impossible le contrôle d’accès au niveau de l’environnement. Les utilisateurs invités (guest) présents dans un tenant peuvent lire la table systemusers via l’API Web Dataverse standard. Cela expose l’ensemble des informations utilisateurs du tenant Microsoft Entra ID : noms, titres de poste, adresses e-mail internes, UPNs, numéros de téléphone directs, identifiants objet Entra, informations de licence et statut activé/désactivé. ⚠️ Exposition 2 : API Web Power Pages / flux OData Les sites Power Pages exposent des tables Dataverse aux visiteurs du site. Lorsqu’une permission de table accorde un accès en lecture à portée globale aux rôles web Anonymous Users ou Authenticated Users, et que l’API Web ou un flux OData est activé pour cette table, l’intégralité de la table peut être récupérée via HTTPS. Si la permission est attribuée à Anonymous Users, aucune authentification n’est requise. 🔓 Problème connexe : authentification invité via endpoint Entra Un endpoint de connexion Entra reste accessible même lorsque son bouton n’est pas affiché sur la page de connexion d’un portail Power Pages. Un utilisateur invité peut s’authentifier via cet endpoint et obtenir des enregistrements en tant qu’Authenticated User. 💥 Impact L’impact documenté inclut : ...

🗓️ Contexte Article publié le 28 juillet 2026 par la BBC (Kali Hays, Technology reporter). L’incident concerne Anthropic, éditeur du chatbot IA Claude, et porte sur l’exposition publique de conversations d’utilisateurs via l’indexation par des moteurs de recherche. 🔍 Faits établis Des centaines de conversations partagées via la fonction « share link » de Claude ont été indexées par Google, Bing, Brave et DuckDuckGo, les rendant accessibles à tout internaute effectuant une recherche site-spécifique. Les chats exposés couvraient plus de 200 conversations sur au moins 25 pages de résultats de recherche. La découverte initiale a été faite par des utilisateurs de Reddit. Les données exposées comprenaient : noms, coordonnées, historiques professionnels (CV), recherches propriétaires dans le secteur de la santé, transcriptions de conversations privées, et contenus de blogs non publiés sur la sécurité cloud. 🏢 Position d’Anthropic La porte-parole d’Anthropic a indiqué que les liens partagés sont « non devinables ou découvrables sauf si les utilisateurs choisissent de les partager eux-mêmes ». L’interface Claude avertit que « toute personne disposant du lien » peut voir le contenu, sans mentionner explicitement la possibilité d’indexation par les moteurs de recherche. L’indexation a été bloquée durant le week-end précédant la publication, vraisemblablement via les outils de désindexation mis à disposition par Google. 📌 Incidents similaires antérieurs OpenAI / ChatGPT : incident quasi-identique l’année précédente, ayant conduit à une modification de l’accessibilité des logs. Grok (xAI / X) : des centaines de milliers de logs de conversations rendus publiquement accessibles via les moteurs de recherche, également l’année précédente. 📰 Nature de l’article Article de presse généraliste relatant un incident de divulgation de données lié à une mauvaise configuration de confidentialité et à l’absence d’avertissement explicite sur l’indexation des liens partagés. ...

🔍 Contexte Article publié le 20 juillet 2026 sur LinkedIn par David Konitzny, chercheur GEO chez Peec AI. L’auteur documente une découverte réalisée lors de sessions de test personnelles portant sur le mécanisme de partage de conversations de la plateforme d’IA DeepSeek. 📌 Découverte principale Le chercheur a constaté que les liens de conversations partagées de DeepSeek (situés dans le répertoire /share/) sont indexés par Google. En utilisant l’opérateur site: dans Google, il a pu accéder à un nombre considérable d’URLs correspondant à des conversations partagées publiquement, sans que les utilisateurs en soient nécessairement conscients. ...

Selon Have I Been Pwned, Divine Skins (service de skins personnalisés pour League of Legends) a révélé sur son serveur Discord qu’un accès non autorisé a touché une partie de ses systèmes en mars 2026. 🚨 Nature de l’incident : accès non autorisé à une partie des systèmes et suppression de tous les skins de la base de données. 🗂️ Données compromises : Adresses e-mail Pseudos (usernames) Historique des achats réalisés par les utilisateurs 📣 Communication : l’incident a été divulgué sur le serveur Discord de Divine Skins. ...

Selon BleepingComputer, des clients de restaurants dont l’encaissement repose sur la plateforme de point de vente (POS) HungerRush disent avoir reçu des e‑mails d’un acteur malveillant tentant d’extorquer l’entreprise. ⚠️ Le ou les expéditeurs menacent d’exposer des données si HungerRush ne répond pas. Les messages évoquent la possible divulgation de données de restaurants et de clients. Éléments clés: Type d’attaque: tentative d’extorsion par e‑mail avec menace de divulgation de données (data leak extortion) Impact potentiel: exposition de données concernant des restaurants et leurs clients 🍽️💾 Produits/secteurs concernés: plateforme POS HungerRush et l’écosystème de restauration IOCs (Indicateurs de compromission): ...

Selon TechCrunch, une vulnérabilité de type IDOR (Insecure Direct Object Reference) a affecté le site d’admission scolaire Ravenna Hub (VenturEd Solutions, Floride), exposant les données personnelles d’élèves et de leurs familles. TechCrunch a découvert la faille mercredi, a alerté l’éditeur, qui l’a corrigée le jour même. La publication a été différée jusqu’à vérification du correctif. • Nature de la faille: la modification de l’identifiant d’un profil élève directement dans l’URL permettait à tout utilisateur connecté d’accéder aux informations d’autres élèves. Les identifiants étaient séquentiels (numéros à 7 chiffres), facilitant l’énumération. ...

Selon Politico (27 janv. 2026), Madhu Gottumukkala, directeur par intérim de la CISA, a importé l’été dernier des documents de contrats marqués FOUO (For Official Use Only) dans la version publique de ChatGPT 🤖, déclenchant des alertes de sécurité automatisées et une évaluation d’impact au niveau du DHS. Les fichiers n’étaient pas classifiés, mais étaient considérés comme sensibles et non destinés à la diffusion publique. Gottumukkala avait obtenu une exception d’accès auprès du bureau du CIO de la CISA alors que l’application était bloquée pour les autres employés. La porte-parole de la CISA affirme qu’il a été autorisé à utiliser ChatGPT avec des contrôles DHS, de manière limitée et temporaire, et soutient que le dernier usage remonterait à mi-juillet 2025; la CISA maintient par défaut le blocage de ChatGPT sauf exception, en ligne avec la volonté d’exploiter l’IA dans le cadre de l’EO de Trump. ...

Source : inside-it.ch – Philipp Anz Date : 20 janvier 2026 🎯 Faits clés L’attaque ransomware subie par Ingram Micro à l’été 2025 s’est révélée bien plus grave que prévu. L’entreprise confirme désormais une fuite massive de données personnelles concernant plus de 42 000 personnes, selon une notification officielle déposée auprès du procureur général de l’État du Maine (États-Unis). L’attaque, détectée le 3 juillet 2025, avait initialement entraîné l’indisponibilité temporaire du site web et des systèmes de commande du distributeur IT mondial. Le groupe ransomware Safepay a revendiqué l’opération et affirmé avoir exfiltré 3,5 To de données. ...

Contexte: Billet de blog d’un chercheur en sécurité détaillant plusieurs failles majeures dans l’écosystème Petlibro (distributeurs, fontaines et caméras connectés), utilisés par des millions de propriétaires d’animaux. 🚨 Principales vulnérabilités: Bypass d’authentification (prise de compte complète) via l’endpoint social login qui ne vérifiait pas les tokens OAuth et acceptait un identifiant Google côté client. Absence de contrôle d’accès sur l’endpoint de détail des animaux permettant de consulter les informations de n’importe quel animal via son identifiant. Exposition d’informations d’appareils (numéro de série, adresse MAC, nom du produit) récupérables à partir d’un ID d’animal lié. Prise de contrôle d’appareils: les API d’appareils acceptaient n’importe quel numéro de série sans vérification de propriété (programmation des repas, déclenchement manuel, accès caméra, réglages, etc.). Accès à des enregistrements audio privés en raison d’identifiants séquentiels et d’une API permettant d’associer n’importe quel audio à n’importe quel appareil, puis de récupérer l’URL. Ajout non autorisé de co-propriétaires: contrôle en place seulement pour la suppression, pas pour l’ajout. 🎯 Impacts mentionnés: ...

Selon TechCrunch, le chercheur en sécurité Anurag Sen a découvert qu’un système national de lecture automatique de plaques d’immatriculation (LAPI) en Ouzbékistan était exposé sur Internet sans mot de passe. Le système, opéré par le Department of Public Security du ministère ouzbek de l’Intérieur à Tachkent, reste accessible au moment de la publication. • Le réseau comprend environ une centaine de caméras haute résolution scannant plaques et occupants, et enregistrant des infractions (feux rouges, ceintures, circulation nocturne de véhicules non autorisés). Des artefacts montrent une base de données créée en septembre 2024 et un début de surveillance mi‑2025. L’exposition a permis d’observer le suivi de l’un des conducteurs sur six mois entre Chirchiq, Tachkent et Eshonguzar. ...