La chaîne de supermarchés britannique Tesco a fermé son application Web de validation du stationnement après Le registre a découvert des dizaines de millions d'images de reconnaissance automatique de plaques d'immatriculation (ANPR) laissées non sécurisées dans un blob Microsoft Azure.
Les images elles-mêmes consistaient en des photos de voitures prises à leur entrée et en laissant 19 des parkings de la société répartis dans tout le pays. Les conducteurs de ces véhicules n'étaient pas visibles sur les photos, mais leur numéro de plaque d'immatriculation était.
Le blob Azure qui alimentait l’application Web externalisée de validation de stationnement de Tesco n’avait aucun contrôle de connexion ou d’authentification et était complètement accessible. La société a admis Le registre que ces images horodatées ont été laissées exposées au cours d'un exercice de migration de données.
Ranger Services, qui exploitait le blob Azure pour l'application Web de Tesco, enquête toujours sur l'étendue de la violation. La société s'appelle désormais GroupNexus après sa récente fusion avec l'opérateur de stationnement concurrent CP Plus.
Sommaire
Images ANPR exposées
Le blob Azure contenait des images ANPR en direct enregistrées sous forme de fichiers JPEG horodatés. L'heure à laquelle les clients garaient leur voiture était également incluse dans les noms de fichiers d'images. Toute personne capable de comprendre correctement le format de la requête HTTP POST requise aurait pu collecter les images en bloc pour une utilisation illicite.
Un porte-parole de Tesco a expliqué ce qui est arrivé à Le registre, en disant:
«Un problème technique lié à une application de stationnement signifiait que, pour une courte période, les images et les temps historiques des voitures entrant et sortant de nos parkings étaient accessibles. Bien qu'aucune image de personnes ni aucune donnée sensible ne soient disponibles, toute faille de sécurité est inacceptable et nous avons maintenant désactivé l'application alors que nous travaillons avec notre fournisseur de services pour nous assurer que cela ne se reproduise plus. "
Selon la société, le blob Azure a été laissé ouvert lors d'un exercice de migration de données planifié vers un lac de données AWS. Il a depuis été sécurisé, mais Tesco ne veut pas révéler combien de temps il a été laissé ouvert.
Étant donné que Tesco a acheté les services de surveillance de parc de stationnement à un tiers, la société a déclaré que ce dernier était responsable de la protection des données collectées et stockées en vertu de la loi.
Via le registre
