Il ne se passe plus une semaine, ou presque, sans que l'on ne découvre une faille de sécurité d'ampleur. Cette fois, le bilan est particulièrement lourd : près d'un million de pièces d'identité et de passeports ont été potentiellement exposés aux quatre vents sur le web. L'origine de cette fuite ? PuffPal, une application permettant de simplifier l'accès aux clubs de cannabis en Espagne. Comme la législation l'exige, ces établissements sont strictement réservés aux personnes majeures, imposant de facto une vérification d'identité à l'entrée.
Une numérisation pratique, mais à quel prix ?
L'idée de départ de la société irlandaise Nefos Solutions, l'éditeur derrière l'application, avait tout pour plaire sur le papier. L'entreprise fournit à ces clubs l'infrastructure logicielle gérant les ventes, la comptabilité et, surtout, les admissions.
Au lieu de devoir présenter physiquement une pièce d'identité à chaque visite, la solution permettait au personnel d'accueil de numériser les passeports et de prendre des selfies, le tout étant stocké sur les serveurs cloud de Nefos. Côté client, l'application optionnelle PuffPal générait un simple code QR pour accélérer l'accès. Pratique pour fluidifier les files d'attente, certes, mais la sécurité n'était manifestement pas inscrite au cahier des charges.
Un désastre sécuritaire absolu
C'est en décompilant l'application que le chercheur en sécurité Sammy Azdoufal a découvert l'ampleur des dégâts. Sa lecture du code source s'est rapidement transformée en cauchemar pour la protection des données. L'infrastructure de Nefos brillait par son absence totale de sécurisation sérieuse. Première trouvaille édifiante : une clé secrète de la plateforme de paiement Stripe traînait en clair dans l'application.
Mais le pire restait à venir. Le chercheur s'est aperçu qu'il suffisait de modifier un simple chiffre dans une requête pour accéder au profil complet de n'importe quel membre. Nom, adresse personnelle, numéro de téléphone, préférences de consommation et, bien évidemment, les pièces d'identité numérisées : tout était en libre accès. Plus effarant encore, les passeports et permis de conduire étaient hébergés sur des URL publiques d'une simplicité enfantine, sans la moindre protection ou authentification. Sachant que ces clubs téléversaient environ 5 000 nouvelles pièces d'identité chaque jour sur ces adresses non sécurisées, le vivier de données sensibles était gigantesque.
L'audit ne s'arrête pas là. Un portail d'administration était accessible depuis le web public, tandis que les comptes des clubs eux-mêmes étaient protégés par des mots de passe d'une faiblesse telle qu'une carte graphique moderne aurait pu les casser en quelques minutes. Enfin, même les échanges de messages privés entre les établissements et les clients via PuffPal étaient totalement vulnérables.
L’inertie coupable et le rôle des géants de la tech
Face à des failles d'une telle gravité, on aurait pu s'attendre à une réaction immédiate. Il n'en fut rien. Nefos a mis un mois entier avant de prendre véritablement la mesure du problème. L'entreprise a fini par couper l'intégralité du système PuffPal ainsi que ses API vulnérables le temps de colmater les brèches. Selon les dernières vérifications effectuées le 10 juin par Sammy Azdoufal, les images et les données personnelles semblent enfin inaccessibles. De son côté, l'éditeur a informé les autorités locales et affirme assumer ses responsabilités, s'exposant à de lourdes amendes tout en promettant d'informer les utilisateurs lésés.
Si l'anecdote du club de cannabis peut prêter à sourire de prime abord, les conséquences n'en demeurent pas moins dramatiques. Le trafic de passeports est un marché noir extrêmement juteux et particulièrement destructeur pour les victimes d'usurpation d'identité.
Plus largement, cette affaire soulève des questions fondamentales sur notre écosystème mobile. Faut-il qu'Apple, dans son fameux processus de validation de l'App Store, se penche plus en profondeur sur l'architecture sécuritaire des applications qu'elle héberge ? La firme de Cupertino en a-t-elle seulement la légitimité, et un tel contrôle pourrait-il réellement être efficace face à des services liés au cloud ?
En fin de compte, cette énième fuite — qui fait écho à des problématiques similaires sur la vérification d'âge des sites pour adultes — démontre l'urgence d'une réponse systémique. Il est grand temps que les éditeurs de systèmes d'exploitation se réunissent pour proposer un standard universel et sécurisé. Une solution native permettant de certifier la majorité d'un utilisateur de manière certaine, sans avoir à confier son passeport au premier développeur venu.
Source :
