Les hôtes Airbnb se sont aujourd’hui adressés à Reddit pour se plaindre du fait que, lors de l’ouverture de leur boîte de réception, ils étaient automatiquement et par erreur servis la boîte de réception pour un hôte différent. L’énorme erreur de données, qui a été signalée par un certain nombre d’hôtes Airbnb différents, se traduit par des messages et une correspondance contenant des informations personnelles sensibles sur les hôtes et les utilisateurs, y compris les adresses, les noms et les codes pour entrer dans les maisons de location.

Comment Airbnb a exposé les données des hôtes

L’alarme a d’abord été déclenchée par un utilisateur passant par le handle « callagem », qui a déclaré: « Je me connecte en tant qu’hôte et il m’accueille avec un nom et des boîtes de réception différents », ajoutant que: « Je peux voir les messages, y compris adresses des gens et le codes pour rentrer chez eux. Cela signifie que quelqu’un d’autre pourra peut-être voir le mien. « 

À la suite de la révélation, d’autres hôtes Airbnb ont commencé à se manifester, affirmant également qu’ils recevaient la mauvaise boîte de réception. Un utilisateur appelé norad73 a déclaré avoir contacté un certain nombre d’autres hôtes, qui auraient également eu le même problème:

J’ai parlé à 5-6 hôtes que je connais, ils ont tous le même problème. Voir les boîtes de réception d’hôtes aléatoires du monde entier!

Un autre utilisateur passant par la poignée flashover212 a déclaré qu’il avait « été dans les limbes du support tout l’après-midi sans résolution en vue. Je ne peux pas accéder à ma propre boîte de réception pour communiquer avec les invités, mais Je peux accéder à des centaines d’autres hôtes ‘. « 

Selon un hôte Airbnb, la firme leur a dit qu’ils ne vivaient rien d’inhabituel de leur côté. Une déclaration extrêmement préoccupante à faire, compte tenu du grand nombre d’hôtes qui sont allés se plaindre sur Reddit.

L’impact sur les hôtes et les invités

Ce type de fuite accidentelle de données est extrêmement préoccupant, et on ne peut qu’espérer que tout ce qui l’a causé a maintenant été corrigé par Airbnb. Le callagem original de l’affiche a affirmé que « Cela a été corrigé maintenant pour moi. » Cela laisse espérer qu’Airbnb a pu rectifier tout ce qui a causé le monumental problème d’envahissement de la vie privée.

Cependant, pour les hôtes qui ont reçu la mauvaise boîte de réception et les titulaires de compte dont les données ont été divulguées à d’autres hôtes, cela a sûrement causé beaucoup de retombées.

Pour commencer, toute personne dont la boîte de réception a été divulguée et pour qui les codes d’accès à la maison ont été diffusés, ce sera désormais nécessaire pour mettre à jour ces codes pour s’assurer que leurs biens ne sont pas potentiellement vulnérables aux cambriolages. Pour que cela se produise, il sera nécessaire qu’Airbnb clarifie l’erreur de données en établissant un contact direct avec toute personne dont la boîte de réception a été accidentellement servie à un autre hôte. Ce n’est qu’alors qu’ils comprendront qu’il existe un risque potentiel pour leurs données personnelles et leur domicile.

Les données divulguées par Airbnb sont très sensible, et il pourrait facilement être exploité à des fins criminelles à des fins de phishing, par exemple. Cela rend la fuite de données Airbnb profondément préoccupante et, si elle est vérifiée, elle mènera certainement à une enquête de la FTC, de l’ICO du Royaume-Uni et des autorités de protection des données de tout autre pays dont les citoyens ont été touchés par la violation.

Inutile de dire que s’il est constaté que la fuite de données a été causée par une négligence et des protections inappropriées des données de la part d’Airbnb, cette fuite de données de consommateurs pourrait potentiellement entraîner des amendes assez lourdes. Après tout, le RGPD impose des amendes de jusqu’à 10 millions d’euros (ou 2% du chiffre d’affaires global de l’entreprise au cours de l’exercice précédent – selon le montant le plus élevé). Airbnb pourrait également se trouver confronté à des poursuites assez graves.

Il incombe désormais à Airbnb d’expliquer ce qui s’est passé et de s’assurer que toutes les personnes concernées ont été informées de leurs meilleures prochaines étapes. Malheureusement, les premières indications semblent révéler qu’Airbnb n’est pas particulièrement disposé à fournir de l’aide.

Airbnb aurait informé Callagem de l’utilisateur de Reddit qu’il devait effacer ses cookies pour résoudre le problème. Tout cela est bien beau, mais il ne fait rien pour résoudre les autres répercussions créé par la fuite, et il n’est pas encore clair si la suppression des cookies du navigateur a résolu le problème. C’est aussi une réponse extrêmement terne à un problème aussi grave; car il ne devrait pas être sur les hôtes Airbnb de résoudre eux-mêmes ce type de fuite de données.

Ce que nous pouvons dire avec une certaine certitude, c’est que le nombre d’hôtes se plaignant sur Reddit semble révéler que cela a été l’une des fuites de données les plus graves et les plus invasives de la mémoire récente.

Nous avons contacté Airbnb pour obtenir des commentaires, qui avait ceci à dire à ce sujet:

Jeudi, un problème technique a conduit un petit sous-ensemble d’utilisateurs à consulter par inadvertance des quantités limitées d’informations provenant des comptes d’autres utilisateurs. Nous avons résolu le problème rapidement et mettons en œuvre des contrôles supplémentaires pour nous assurer que cela ne se reproduira plus. Nous pensons qu’aucune information personnelle n’a été utilisée à mauvais escient et à aucun moment les informations de paiement n’ont été accessibles.

Le problème technique est survenu jeudi à 9h30, heure du Pacifique américain, a été identifié en moins d’une heure, une enquête a été lancée par nos équipes d’ingénierie et de sécurité et le problème a été résolu à 12h30, heure du Pacifique américain. Ce n’était pas le résultat d’une attaque malveillante sur l’infrastructure Airbnb. Il n’existait que sur le bureau et les plates-formes Web mobiles – pas sur l’application mobile. Les utilisateurs avec un accès par inadvertance ne pouvaient pas modifier les données des autres utilisateurs (c’est-à-dire envoyer des messages, réserver / modifier des listes ou effectuer des actions ayant un impact sur les paiements du compte de l’utilisateur réel).