Gravy Analytics, un courtier en données qui suit plus d’un milliard d’appareils quotidiennement, a été la cible d’une cyberattaque qui a abouti à la compromission d’une importante base de données. Les informations de localisation de millions d’utilisateurs d’iPhone et d’Android auraient été compromises suite à cette attaque. Une faille aurait été exploitée via une clé d’accès liée à un environnement de stockage cloud AWS.

Hacker Illustration

Les pirates auraient ainsi obtenu des listes d’historiques de clients et des données de localisation, dont certaines ont déjà été partagées sur des forums privés. Ces données incluent les déplacements précis de millions de smartphones, exposant les informations personnelles collectées via des services tiers intégrés à Gravy Analytics. Cette violation de données massive  met en lumière les risques liés aux processus d’enchères publicitaires en temps réel utilisés pour collecter ces données.

Cet incident survient après une décision de la FTC datant de décembre dernier, qui interdit à Gravy Analytics et sa filiale Venntel de vendre ou d’utiliser des données de localisation sensibles en raison des risques d’exposition d’informations liées à la santé, aux activités politiques et religieuses, ainsi qu’aux menaces de discrimination et de violence. La FTC avait également ordonné la suppression de toutes les historiques de données, mais la cyberattaque semble s’être produite avant la mise en conformité demandée par l’agence.

A noter enfin que des applications comme FlightRadar, Grindr et Tinder ont indirectement contribué à la collecte de données de localisation via des publicités, hormis pour les utilisateurs d’iPhone ayant désactivé la fonction de suivi via les applications.