Razer a laissé les données de 100 000 clients en libre accès sur le net

Difficile de faire pire timing. Alors que l’américain Razer annonçait récemment réfléchir à lancer en Europe et aux Etats-Unis (entre autres) ses propres services bancaires, le voilà qui doit faire face à une fuite massive de données personnelles. Si Razer cherche à amoindrir la portée de cette fuite, ce sont pourtant les coordonnées de « près de 100 000 » clients du groupe qui sont bel et bien restées en libre accès sur le web après un « problème de configuration sur un cluster Elasticsearch ».

Des données accessibles librement, sans le moindre mot de passe

Comblée le 9 septembre dernier par les techniciens de Razer (qui avait été prévenu dès le 18 août), cette faille de sécurité aura notamment laissé accessibles, en clair sur le net, les adresses postales, adresses email et numéros de téléphone de nombreux clients de la marque… et ce pendant au grand minimum plusieurs semaines.

Le problème de configuration de serveur confirmé par Razer a été découvert le mois dernier par le chercheur en sécurité Volodymyr Diachenko. Ces données étaient toutefois probablement en ligne depuis plus longtemps. D’après le chercheur ukrainien, les informations personnelles des clients de Razer avaient en effet été indexées par certains moteurs de recherche, ce qui pourrait induire une fuite relativement ancienne.

Autre problème : le temps de traitement du signalement de Volodymyr Diachenko par les services de Razer. Le spécialiste en sécurité a notamment indiqué que ses emails ont d’abord été « traités par des responsables du support non-technique, pendant plus de 3 semaines, avant que [les données] ne soient protégées de l’accès public ».

Dans un communiqué adressé à Volodymyr Diachenko, Razer a pour sa part indiqué que les données laissées en libre accès ne comprenaient pas de mots de passe ou de numéros de cartes bancaires.

« M. Volodymyr nous a informés d’une mauvaise configuration de serveur qui pouvait exposer les détails de commandes, les informations clients et les informations d’expédition. Aucune autre donnée sensible, telle que des numéros de carte de crédit ou des mots de passe n’a été exposée . Cette mauvaise configuration de serveur a été corrigée le 9 septembre, avant que la défaillance ne soit rendue publique », lit-on notamment.

« Nous tenons à vous remercier, à vous présenter nos sincères excuses pour cette défaillance et à vous informer que nous avons pris toutes les mesures nécessaires pour résoudre le problème. Nous avons également procédé à un examen approfondi de notre sécurité et de nos systèmes informatiques. Nous restons déterminés à assurer la sécurité numérique de tous nos clients ».