Si vous utilisez ce VPN, vos données sont peut-être dans la nature

Les informations de millions d’utilisateurs ont été exposées sur la toile. En cause, une application gratuite populaire, mais déjà connue pour son manque de sécurité.

C’est une nouvelle fuite de données massive. Les informations de plus de 360 millions d’utilisateurs auraient été exposées sur la toile, selon les conclusions du chercheur en cybersécurité Jeremiah Fowler, publiées fin mai. Ces dernières proviennent de l’application SuperVPN, un réseau privé virtuel gratuit et téléchargé des centaines de millions fois, rien que sur le Google Play Store. A noter que l’application est également disponible sur iOS.

Le consultant en sécurité informatique aurait ainsi eu accès à une base de données non-protégée de 133 Go. Celle-ci contenait, selon son rapport, des adresses mails, des adresses IP, des informations sur l’appareil et même des sites visités par les utilisateurs. “Après avoir examiné un échantillon limité d’enregistrements, j’ai alerté [les services de l’application, ndlr] sur l’exposition des adresses e-mail disponibles associées aux deux applications. La base de données a ensuite été fermée bien que je n’ai jamais reçu de réponse”, décrit Jeremiah Fowler.

Si c’est gratuit, vous êtes le produit.
La fuite de données a surtout révélé que SuperVPN stocke les journaux d’historique de ses utilisateurs, malgré une politique dite de “non-journalisation”. “No logs saved anywhere”, peut-on lire dans la description de l’application. En français, “Aucun journal enregistré nulle part”.

Ce n’est d’ailleurs pas la première fois que l’outil a exposé les données de ses utilisateurs. En 2020 déjà, le journaliste Zak Doffman rapportait dans le média Forbes les dangers de SuperVPN : “Les risques de SuperVPN ont été révélés dans des recherches antérieures remontant à 2016. Plus récemment, il a été accusé de manipuler le Play Store pour générer des installations”.

De plus, l’expert en cybersécurité Jeremiah Fowler a démontré un manque de transparence quant à l’origine de l’application. Ou plutôt les applications. Car d’après ses recherches, deux sociétés distinctes seraient à l’origine de la version Android et de celle pour iOS. “Aucune des deux sociétés ne fournit beaucoup d’informations sur leur propriété ou leur emplacement sur leurs sites Web, ce qui a soulevé des inquiétudes quant à la transparence et à la sécurité de ces services VPN gratuits”, analyse-t-il.

Il existe de nombreuses applications proposant un service de réseau virtuel gratuit sur les boutiques officielles. Toutefois, leur utilisation est déconseillée par la plupart des spécialistes qui invoquent un manque de sécurité en termes de protection des données. En outre, l’utilisation d’un VPN n’assure pas une confidentialité à toute épreuve.