Un hackeur a piraté une compagnie qui vend des logiciels espions, une deuxième fois

L’an dernier, un hackeur justicier a accédé par effraction aux serveurs d’une compagnie qui vend des logiciels espions aux particuliers et a effacé des données de ses serveurs, supprimant ainsi les photos prises avec des appareils surveillés. Un an plus tard, le hackeur l’a refait.

Il y a quelques jours, il a affirmé avoir recommencé à effacer le contenu de serveurs infonuagiques appartenant à Retina-X Studios, une compagnie basée en Floride dont la clientèle cible se compose de conjoints, de parents et d’employeurs.

Ces logiciels espions permettent d’avoir un accès pratiquement total au téléphone ou à l’ordinateur d’une cible. La personne qui utilise le logiciel peut voir les photos que la cible prend, lire les messages qu’elle envoie, consulter la liste des sites web qu’elle visite et suivre ses déplacements.

Un porte-parole de Retina-X nous a répondu par courriel que la compagnie n’avait pas détecté aucune brèche de sécurité depuis l’an dernier. Mais nous avons pu vérifier que le hackeur a effectivement accès à ses serveurs.

Nous avons créé un compte pour utiliser le logiciel espion PhoneSheriff de Retina-X pour voir s’il disait vrai. Nous avons ensuite téléchargé et installé l’application PhoneSheriff sur un téléphone Android, puis nous avons pris des photos d’un soulier avec cet appareil.

« J’ai trouvé deux photos de souliers », nous a dit plus tard le hackeur.

Il a aussi décrit d’autres photos sauvegardées dans cet appareil, nous a donné l’adresse courriel utilisée pour créer le compte, puis supprimé les données de notre compte PhoneSheriff. « Rien de tout ça ne devrait être sur internet », a observé le hackeur. Au total, il affirme avoir supprimé un téraoctet de données.

« En dehors des failles techniques, je trouve cette catégorie de logiciels très inquiétante. Aux États-Unis, le public cible, c’est surtout les parents », estime-t-il. « Edward Snowden a dit que la confidentialité est ce qui donne à une personne la possibilité de révéler ce qu’elle est au reste du monde à ses propres conditions », a poursuivi le hackeur pour expliquer ses motifs. « Je ne veux pas vivre dans un monde où les jeunes générations grandissent sans ce droit. »

Par la brèche dans les données de Retina-X l’an dernier, il a été capable d’accéder à des photos, messages et autres données sensibles de personnes qui ont été surveillées au moyen d’un de ses produits. Les données privées étaient conservées dans des serveurs fournis par l’entreprise Rackspace. Le hackeur a trouvé la clé API et les renseignements requis pour accéder au contenu des serveurs dans l’application pour Android PhoneSheriff. La clé et les renseignements étaient conservés en texte brut.

Cette deuxième fois, il nous a dit que la clé API était masquée, mais qu’il a néanmoins été relativement facile pour lui de l’obtenir et d’accéder au serveur à nouveau. Parce qu’il craignait qu’un autre hackeur accède aux données et mette ensuite les photos en ligne, il a décidé de supprimer le contenu des serveurs à nouveau.

Peu après que nous avons rapporté la brèche de sécurité de Retina-X l’an dernier, un deuxième hackeur nous avait contactés et assuré qu’il avait lui aussi accès au serveur depuis un bon moment déjà. Il a fourni des fichiers internes de Retina-X, et nous avons pu vérifier l’authenticité de plusieurs d’entre eux.

Interrogée à propos des changements qu’a apportés l’entreprise depuis le piratage de l’an dernier, Retina-X nous a répondu par courriel que « nous avons pris des dispositions pour améliorer les mesures de sécurité des données. Révéler des détails de ces mesures de sécurité ne pourrait que compromettre ces efforts. »

« Retina-X Studios s’est engagée à protéger la confidentialité des utilisateurs et a coopéré avec les autorités qui ont mené l’enquête, a poursuivi le porte-parole. Malheureusement, comme nous le savons tous, les auteurs de ces actions hautement nuisibles portant atteinte aux consommateurs et aux entreprises sont rarement identifiés et traduits en justice. »

Au début de février, le hackeur a commencé à mettre en ligne certains des fichiers de Retina-X qu’il avait téléchargés à la fin de 2016. Il utilise maintenant un compte Mastondon nommé « Precise Buffalo » pour rendre publiques des captures d’écran montrant comment il a eu accès aux données, ainsi que des données brutes obtenues par la brèche de sécurité, mais aucune donnée personnelle de victimes d’espionnage.

En février 2017, des recherches dans les données fournies par les hackeurs nous ont permis de voir que des dizaines de milliers de personnes utilisent des logiciels espions.

Retina-X n’est pas la seule compagnie qui vend des logiciels espions piratée l’an dernier. FlexiSpy, qui vise particulièrement les amoureux jaloux, a aussi été piratée. Les hackeurs avaient alors promis que leur deux victimes n’étaient que les premières.

Pour plus d'articles comme celui-ci, inscrivez-vous à notre infolettre.