Les fournisseurs de VPN gratuits ont laissé fuiter des informations personnelles de plus de 21 millions de leurs utilisateurs. La base de données contenant les informations d’identification de ces utilisateurs a récemment été découverte par CyberNews, présentant potentiellement un risque pour la confidentialité et la sécurité.

Les fournisseurs touchés par cette fuite massive de données font partie des plus populaires VPN gratuits d’Android :  SuperVPN (avec plus de 10 000 000 installations sur Google Play), GeckoVPN (avec plus de 10 000 000 installations) ou encore ChatVPN (avec plus de 50 000 installations). La base de données datée du 24 février est actuellement vendue sur des forums parallèles à un prix inconnu.

La cause de la fuite est probablement dû à plusieurs négligences de la part de ces fournisseurs sur leurs systèmes d’authentification des utilisateurs ou encore le manque de précautions appropriées pour assurer leurs sécurités. Les VPN ne stockaient pas seulement les informations des utilisateurs mais ils conservaient également les informations de connexion par défaut sur leurs serveurs, ce qui les rendaient extrêmement faciles d’accès.

Quels sont les dégâts causés ?

Ce n’est pas la première fois que des fournisseurs de VPN gratuits sont responsables de fuites massives de données.

SuperVPN en particulier a subi une vilaine brèche en Juillet 2020. Pourtant, il semble que les fournisseurs n’aient rien appris de cette leçon, puisqu’ils n’ont pris aucune mesure complémentaires pour assurer la sécurité de leurs utilisateurs.

Cette fois, la violation des données est beaucoup plus étendue puisqu’elle contient des informations plus sensibles. Comme l’a déclaré l’auteur anonyme du message, la base de données divulguée sur les forums contient des informations telles que :

• Des adresses e-mail
• Des noms d’utilisateurs
• Les noms complets des utilisateurs
• Le pays d’origine des utilisateurs
• Les mots de passe générés aléatoirement
• Les données de paiement
• La date d’expiration et les détails d’inscription

Même si toutes les informations divulguées sont sensibles, les mots de passe générés aléatoirement sont la principale source de préoccupation. Ceux-ci pourraient être liés à des comptes Google Play, ce qui mettrait en danger les informations financières des utilisateurs.

La fuite contient également des informations sur :

• Les ID des appareils de l’utilisateur et les numéros de série
• Les numéros IMSI du matériel
• Les modèles de téléphones et les fabricants

De possibles personnes mal attentionnées pourraient utiliser ces informations pour mener d’autres pratiques malveillantes, telles que des attaques de type man-in-the-middle, pour obtenir un accès supplémentaire aux appareils des utilisateurs et aux informations financières.

Même s’il y a débat sur le fait que la fuite soit réelle ou non, les exemples de données dans le post du forum semblent bien légitimes. Si tel est le cas, ce serait un coup dur pour la crédibilité de ces fournisseurs de VPN gratuits ainsi qu’un danger énorme pour ces 21 millions d’utilisateurs.

Et maintenant ?

SuperVPN, GeckoVPN et ChatVPN n’ont toujours pas publié de déclaration concernant cette violation présumée des données de leurs utilisateurs. Cependant, si les informations de fuite sont vraies, cela signifierait que ces fournisseurs de VPN enregistreraient beaucoup plus de données que ce qui est stipulé dans leurs politiques de confidentialité.

Si vous avez utilisé l’une de ces applications VPN gratuites (ou tout autre), nous vous conseillons de :

• Vérifier si vos données personnelles n’ont pas été divulgées ;
• Changer vos mots de passe en ligne, de préférence en utilisant un générateur de mots de passe ;
• Désinstaller le VPN gratuit que vous utilisez actuellement pour vous abonner plutôt à un fournisseur qui pourra garantir votre sécurité en ligne.

La sécurité et la confidentialité en ligne sont de nos jours un problème majeur. Et, malheureusement, la majorité des fournisseurs de VPN gratuits ne semblent pas être en mesure de garantir la sécurité dont vous avez besoin.

Prenez les précautions nécessaires dès aujourd’hui et évitez de vous retrouver piégé dans une fuite massive de données demain.