Gravité modéréeFuite vérifiée
Fuite de données ai.type
20 580 060 comptes
Voici ce qui a fuité, ce que ça change pour vous et les gestes à faire.
ai.type, c’est quoi ?
ai.type était une application de clavier virtuel pour téléphone. C’est le point à saisir avant tout le reste : un clavier voit tout ce que vous tapez, et celui-ci collectait bien davantage que ce qu’on imagine en installant un clavier.
Ce qui s’est passé
En décembre 2017, l’application de clavier virtuel ai.type a été découverte en train de laisser une quantité considérable de données accessibles publiquement, dans une base MongoDB non sécurisée.
Repéré par les chercheurs du Kromtech Security Center, l’ensemble représentait 577 Go et comprenait des informations personnelles étendues : plus de 20 millions d’adresses email uniques, des profils de réseaux sociaux et des contacts de carnets d’adresses.
Seules les adresses email ont été transmises au registre, afin de permettre aux personnes concernées d’évaluer leur exposition.
Les données exposées
- dates de naissance
- localisations géographiques
- numéros IMEI des téléphones
- numéros de carte SIM (IMSI)
- adresses IP
- numéros de téléphone
- carnets d’adresses
- applications installées
- noms de réseaux mobiles
- informations d’appareil
- adresses email
- genres
- noms
- photos de profil
- profils de réseaux sociaux
Les personnes touchées ne sont pas forcément concernées par chaque catégorie.
Le niveau de risque
Gravité modérée : ni mot de passe ni donnée bancaire, mais des données personnelles durablement exploitables.
Aucun mot de passe transmis au registre, donc rien à réinitialiser dans l’immédiat. Le sujet est ailleurs, et il dépasse cette application. Ce qui a été laissé à découvert comprenait les contacts de carnets d’adresses, c’est-à-dire les coordonnées de personnes qui n’avaient, elles, jamais installé quoi que ce soit. Vos proches se sont retrouvés dans ce fichier parce que vous étiez client, ce qui est le propre des applications qui demandent l’accès aux contacts. Si vous aviez ce clavier, désinstallez-le. Et retenez le principe pour la suite : un clavier a accès à tout ce que vous saisissez, mots de passe et messages compris ; c’est la catégorie d’application où l’on se limite à celle fournie par le téléphone, ou à une alternative dont on a vérifié la réputation. Vérifiez au passage, dans les réglages, quelles applications ont accès à vos contacts.
Que faire si vous êtes concerné
- Votre numéro de téléphone est potentiellement exposé. Vous pourriez recevoir des SMS ou des appels qui semblent vous connaître.
- Votre nom et votre date de naissance sont potentiellement exposés. Ils ne peuvent pas être effacés d’Internet : un message qui les cite ne prouve donc pas qu’il est sérieux.
- Des e-mails ou des SMS imitant ai.type peuvent utiliser vos vraies informations pour paraître crédibles : c’est ce qu’on appelle le phishing.
- Par précaution, vous pouvez activer la double authentification sur votre boîte mail : c’est elle qui reçoit les liens « mot de passe oublié » de vos autres comptes.
Bon à savoir : vous pouvez signaler les tentatives d’arnaque : transférer les SMS frauduleux au 33700, signaler les e-mails sur signal-spam.fr et retrouver les bons réflexes sur cybermalveillance.gouv.fr.
Pour aller plus loin : Mon numéro de téléphone a fuité · Reconnaître les arnaques qui suivent une fuite · Mon adresse e-mail est dans une fuite : que faire ?