Sept VPN gratuits créés par un développeur basé à Hong Kong ont été identifiés comme divulguant les données personnelles de plus de 20 millions d’utilisateurs de VPN dans le monde, leur serveur étant totalement ouvert et accessible à des tiers.
La fuite massive de données a été découverte par les chercheurs en sécurité de vpnMentor qui ont noté que le serveur partagé, qui hébergeait les données collectées par les applications VPN gratuites, stockait plus de 1,2 To de données, dont 1 083 997 361 enregistrements de données comprenant des adresses électroniques, des mots de passe en texte clair, des adresses IP, des adresses de domicile, des modèles de téléphone, des identifiants d’appareils et d’autres informations techniques appartenant à plus de 20 millions d’utilisateurs dans le monde qui utilisaient ces applications. Cette faille de sécurité majeure incite donc désormais les utilisateurs à s’interroger sur le meilleur VPN gratuit…
Ces applications VPN gratuites, à savoir UFO VPN, FAST VPN, Free VPN, Super VPN, Flash VPN, Secure VPN, et Rabbit VPN, prétendaient être des VPN “zero log” et ne stockaient aucune donnée sur les utilisateurs, mais les analystes ont découvert que leur serveur partagé contenait des journaux détaillés de l’activité Internet de millions d’utilisateurs. Les applications se targuent également d’avoir une sécurité de niveau militaire, mais leur serveur partagé contient également des mots de passe non cryptés en texte clair.
Pour vérifier l’authenticité des données stockées dans le serveur partagé, les chercheurs ont téléchargé une application VPN OVNI sur un téléphone, puis ont utilisé l’application pour se connecter à des serveurs du monde entier. Dès qu’ils l’ont fait, ils ont trouvé de nouveaux journaux d’activité dans la base de données Elasticsearch qui contenaient une adresse électronique, un emplacement, une adresse IP et d’autres informations sur l’appareil utilisé pour télécharger et exécuter l’application.
Outre les informations personnelles, les adresses IP et la localisation de millions d’utilisateurs, les chercheurs ont également trouvé des détails sur les sites web visités par les internautes utilisant les sept applications VPN, des messages envoyés par les utilisateurs de l’application aux agents du service clientèle, des liens API PayPal sensibles ainsi que les noms, adresses électroniques et adresses complètes des utilisateurs, ainsi que des entrées de données marquées Huawei qui ne concernaient pas seulement les appareils des utilisateurs.
Les contrôles de sécurité insuffisants des applications VPN gratuites ont mis des millions d’utilisateurs en grand danger.
Une grande partie des millions d’utilisateurs de VPN exposés dans cette fuite vivent dans des pays dont les gouvernements sont violemment répressifs, comme l’Iran et le Soudan. La menace d’une surveillance gouvernementale et d’une arrestation pour utilisation innocente d’Internet est la raison pour laquelle les VPN sont si populaires dans ces pays en premier lieu.
« En enregistrant les activités de leurs utilisateurs et en enregistrant une si grande partie de leurs données d’IPI, malgré la promesse explicite de ne pas le faire, ces VPN ont trahi leurs utilisateurs les plus vulnérables et les ont exposés à un grand danger. Si les enregistrements avaient été divulgués, des gouvernements répressifs pourraient les utiliser pour cibler les utilisateurs dans leur pays », a déclaré l’un des chercheurs.
« Lorsque vous choisissez un fournisseur VPN, il est important que vous vérifiiez qu’il ne conserve aucun journal ou ne collecte aucune donnée sur vous et vos activités en ligne. Si les données collectées mènent à vous, alors le VPN ne fait pas ce à quoi il est destiné. Il serait préférable de ne pas utiliser leur service VPN », a-t-il ajouté.
