Le fabricant de matériel informatique Zotac a exposé en ligne des demandes d'autorisation de retour de marchandise (RMA) et des documents associés pendant une période inconnue, exposant ainsi des informations sensibles sur ses clients.
Zotac, connu pour sa gamme de PC compacts et mini, de cartes graphiques hautes performances, de cartes mères et d'accessoires informatiques, a mal configuré les dossiers Web contenant les données RMA, ce qui a entraîné leur indexation par les moteurs de recherche.
Il s'agit généralement du résultat d'autorisations inadéquates qui limitent l'accès aux seuls utilisateurs autorisés, c'est-à-dire aux employés de Zotac, et de l'absence de balises ou d'un fichier « robots.txt » qui demanderait aux robots d'exclure les dossiers sensibles.
En conséquence, les requêtes de recherche Google contenant des noms de personnes ou d'entreprises ainsi que le paramètre de site « zotacusa.com » ont révélé des informations personnelles telles que des factures, des adresses, des détails de demande et des informations de contact.
La faille, qui affecte un nombre inconnu de clients Zotac, a été découverte par un internaute de la chaîne technologique YouTube GamersNexus. La chaîne a signalé la fuite à la fin de la semaine dernière sur X sans nommer le fournisseur du matériel.
Entre-temps, GamersNexus a informé certains des plus grands partenaires de Zotac pour les sensibiliser à l'exposition des données sensibles, et des efforts de correction sont en cours.
La chaîne YouTube a révélé que le coupable était Zotac USA via un vidéo publiée hier après avoir reçu une réponse de l'entreprise.
La plupart des données ont désormais été sécurisées, même si elles apparaissent toujours dans la recherche Google. Cela dit, la plupart des documents privés ne sont plus accessibles au public.
GamersNexus a finalement contacté un porte-parole de Zotac, qui leur a dit qu'ils avaient désactivé le bouton de téléchargement de documents sur leur portail RMA et demandaient désormais aux clients d'envoyer par courrier électronique les fichiers accompagnant leurs demandes.
Si vous avez déjà utilisé le service RMA de Zotac, vous devez considérer que vos informations personnelles sont exposées et prendre les précautions nécessaires pour atténuer le risque. La durée de l'exposition étant actuellement inconnue, il n'existe pas de date de RMA « sûre ».
BleepingComputer a contacté Zotac pour en savoir plus sur l'exposition des données, mais aucune déclaration n'était immédiatement disponible.
