Exposition de données d’Indian Railways en 2019
L’exposition de données d’Indian Railways en 2019 concernait des informations laissées accessibles dans une base de données Google Firebase non protégée, associée au nom Indian Rail et au domaine indianrails.in par une fiche vérifiée consacrée à cette violation de données.
Types de données exposées
3- Adresses e-mail
- Mots de passe
- Noms d’utilisateur
À propos de cette fuite de données
Le répertoire indique 583 377 adresses e-mail uniques. Le rapport de divulgation des chercheurs fait état d’environ 247 MB de données contenant 2 357 684 lignes d’adresses e-mail, de noms d’utilisateur et de mots de passe en clair. Ces chiffres correspondent à des unités différentes : ils ne sont pas additionnés, et le nombre de lignes n’est pas présenté comme un total de personnes distinctes.
L’article de recherche décrit la base de données Firebase mal configurée, les champs de données et le processus de divulgation sans nommer l’organisation concernée. L’association avec Indian Railways provient de la fiche vérifiée consacrée à cette violation de données et liée à cet article, et non de l’article à lui seul. Cette distinction dans l’attribution est importante : le texte de recherche anonymisé ne doit pas être interprété comme une déclaration de l’organisation elle-même qui la nommerait de manière indépendante.
Que permet d’établir la chronologie ?
Selon le rapport de divulgation, des journalistes ont commencé à tenter de contacter l’organisation le 28 octobre 2019; un service d’assistance à la divulgation a reçu le dossier le 29 novembre, a joint le développeur de l’application le 30 novembre et a signalé que le problème avait été corrigé le 7 janvier 2020. La date du 28 octobre figurant dans la fiche marque le début des tentatives de prise de contact, et non une date avérée d’ouverture de la base de données ou de téléchargement non autorisé. Les sources publiques ne permettent pas de déterminer la période initiale d’exposition ni de savoir si quelqu’un a fait un usage abusif des données.
Quelles informations étaient présentes et que peuvent faire les utilisateurs ?
Les champs dont la présence est confirmée sont les adresses e-mail, les noms d’utilisateur et les mots de passe en clair. Les sources ne mentionnent ni cartes de paiement, ni comptes bancaires, ni données d’identité officielles, ni informations de santé, et elles n’établissent pas que chaque ligne représentait une personne distincte. Si le mot de passe exposé, ou un mot de passe similaire, est toujours utilisé sur un autre compte, remplacez-le immédiatement par un mot de passe unique, activez l’authentification multifacteur et examinez les sessions que vous ne reconnaissez pas. Une correspondance sur une adresse e-mail ne permet pas d’identifier le trajet ferroviaire ou le billet précis d’une personne, ni de prouver qu’un compte qu’elle utilise est aujourd’hui compromis.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
