Torrent : une énorme faille de sécurité repérée dans 3 célèbres sites de téléchargement illégal

Le blog TorrentFreak aurait repéré une faille dans les sites de torrent privés qui permet d’avoir accès aux données personnelles de leurs utilisateurs. Le problème viendrait d’un code communément utilisé par tous ces services.

Un informateur, qui a tenu à garder l’anonymat, aurait pointé TorrentFreak vers trois gros sites de torrent privés problématiques. Ils exposent, à leur insu, une sérieuse faille de sécurité. Le chercheur a pourtant le plus grand mal à entrer en contact avec les gestionnaires de ces services pour les avertir.

Tout comme un site public à la Zone-Téléchargement ou CPasbien, un site de torrent privé permet de partager et de télécharger des fichiers en utilisant le protocole BitTorrent. Pour profiter de ses services ou contacter ses responsables, on doit en devenir un membre, par cooptation ou en payant un abonnement. Cela nécessite, évidemment, de fournir nombre d’informations, dont un moyen de paiement, si l’on accepte de payer.

LES SITES DE TORRENT QUI EXPOSENT LA FAILLE CRITIQUE DOIVENT SE RECONNAÎTRE
Le problème viendrait du programme Torrent Auto Loader utilisé par les traqueurs des trois sites. Ce dernier se lance lorsque de nouvelles sources apparaissent dans d’autres traqueurs. Il télécharge automatiquement et transfère automatiquement les torrents et autres types de fichiers d’une plateforme à l’autre. Le problème est que la page d’administration de Torrent Auto Loader est accessible à n’importe qui : elle n’est pas protégée par mot de passe. Les trois sites de torrent privés utilisent l’un de ces deux clients torrent : rTorrent ou ruTorrent.

Les sites de torrent privés ont pour réputation d’être plus sûrs que leurs équivalents grand public. Ce serait tout l’inverse en ce qui concerne les trois services mentionnés par la source anonyme. La menace de diffuser les données des membres payants est si forte, que TF déclare : « le chercheur veut protéger les utilisateurs de ces plateformes, mais si nous nommions les sites ici, cela ne laisserait pas assez de temps aux admins pour en être informés et agir en conséquence ». Les exploitants de ces sites doivent donc se reconnaître… et vite combler cette faille critique.