Une application de devoirs de maths vient de perdre les données d'un million d'élèves, de parents et d'enseignants
Mathspace est le genre de logiciel qu'un enfant utilise sans que personne y réfléchisse. Des écoles de toute l'Australie et de Nouvelle-Zélande le distribuent pour les devoirs de maths, l'identifiant finit enregistré dans le navigateur de l'ordinateur familial, et c'est la dernière décision consciente que quiconque prend à son sujet. Le 7 septembre, l'entreprise a publié l'ampleur de sa fuite de données : 1 079 819 élèves, personnels scolaires et parents.
La chronologie mérite d'être lue lentement. Metabase, un outil de reporting que Mathspace hébergeait sur ses propres serveurs, a publié un correctif de sécurité critique le 6 août. Un attaquant a exploité la faille non corrigée pour obtenir un accès administrateur le 10 août, a téléchargé la base de données le 27 août, et Mathspace a installé la mise à jour le 29 août, deux jours après le départ des données. L'intrusion n'a été confirmée que le 3 septembre. L'entreprise l'attribue à une négligence interne dans le traitement des avis de vulnérabilité, formule soignée pour désigner une file d'attente que personne n'a lue.
Ce qui a été pris : noms, identifiants, adresses e-mail, type d'utilisateur, pays, fuseau horaire et dates de connexion. Les mots de passe, les jetons d'authentification unique et les résultats scolaires n'ont pas été exposés, et Mathspace affirme n'avoir vu aucun signe de revente ou de publication des données. Reste qu'une liste de prénoms d'enfants associés à des adresses e-mail scolaires constitue un kit d'hameçonnage prêt à l'emploi. Le seul symptôme à prendre au sérieux est un e-mail de réinitialisation de mot de passe que personne n'a demandé. S'il arrive, ne cliquez sur rien : allez vous-même sur le site et vérifiez le compte. Et si le même mot de passe protège la messagerie de votre enfant en plus de son application de devoirs, changez-le aujourd'hui.
Les ordinateurs familiaux accumulent des connexions dont personne ne se souvient. La vérification Confidentialité et comptes de Tendvane liste ce qui est connecté sur la machine, ce qui permet de découvrir rapidement quels comptes existent réellement avant de chercher ceux qui comptent.