Wish et d'autres grandes entreprises touchées par un scandale relatif aux adresses mail

Des millions d'adresses e-mail auraient été transmises sans autorisation à de grands groupes comme Facebook ou Google, selon un rapport publié dans Medium par le chercheur en cybersécurité Zach Edwards.

Parmi les sociétés impliquées dans l'affaire, on retrouve notamment Wish, JetBlue, mais aussi la plateforme de streaming spécialisée dans les formats courts, Quibi, qui a réalisé un départ réussi il y a quelques semaines.

Importante fuite sur Wish.com

Les adresses e-mail concernées ont été enregistrées par des utilisateurs souhaitant interagir avec un service web : confirmer une inscription, s'inscrire à une newsletter, etc. Le rapport indique que dans certains cas, ces adresses ont également été enregistrées à partir du désabonnement d'un service. Elles auraient ensuite été communiquées à des sociétés comme Facebook, Twitter, Google ou Paypal.

Si Quibi est concerné par ces fuites de données, Zach Edwards estime que la plus importante est celle de Wish. Le chercheur déclare : « Je pense que la violation de Wish.com était la plus importante de toutes dans cette étude, elle a duré plus d'un an et a probablement impliqué des centaines de millions de courriels d'utilisateurs dans un format texte en base64 (un outil de formatage de données, ndlr.) partagés avec des sociétés d'analyse et de publicité ».

Il ajoute : « Je pense que Wish et toutes les organisations participant à cette recherche devraient demander la suppression des e-mails des utilisateurs de tout fichier détenu par des sociétés de publicité et d'analyse externes, mais il semble qu'aucune organisation n'ait soumis cette demande à leurs partenaires, même après avoir été avisée de leurs violations ».

Réactions en chaîne

Cependant, souligne CNet, le rapport ne précise pas comment les annonceurs ont utilisé les adresses e-mail. Certaines des entreprises ayant communiqué ces adresses ont déclaré qu'elles n'avaient pas eu la preuve que leurs partenaires publicitaires avaient accédé à ces informations, ou qu'elles les avaient utilisé à tort. Wish a déclaré dans un e-mail que le rapport était « faux », affirmant que les adresses e-mail étaient codées. Pour accéder aux données, ses affiliés marketing auraient dû suivre des étapes supplémentaires. Elle ajoute : « Nous n'avons aucune raison de croire que cela s'est produit ».

Quibi a déclaré dans une vidéo mise en ligne le 6 avril que la sécurité des données de ses utilisateurs était sa « priorité absolue ». Suite à la publication de l'étude, elle a ajouté que « dès l'instant où le problème de notre page Web a été révélé à notre équipe de sécurité et d'ingénierie, nous l'avons corrigé immédiatement ». JetBlue promet de faire de même, affirmant : « Nous examinerons les conclusions du chercheur pour nous assurer que nous respectons les informations personnelles de nos clients et que nous respectons pleinement les normes que nous avons fixées ». D'autres sociétés impliquées, comme Twitter, Facebook et Paypal n'ont pas souhaité commenter.

Source : CNet et Medium