Fuite de données VTech (enfants)

Le 27 novembre 2015, le fabricant de jouets éducatifs hongkongais VTech Holdings a confirmé qu'un attaquant s'était introduit dans la base de données de sa boutique d'applications Learning Lodge et de son service de messagerie Kid Connect, exposant les données personnelles de 6,4 millions d'enfants et près de 5 millions de comptes parents. Il s'agissait alors de la plus grande fuite connue ciblant spécifiquement des données de mineurs.

Ce qui s'est passé

VTech vend des tablettes et des jouets connectés à Internet destinés aux jeunes enfants. Son portail Learning Lodge permettait aux parents de télécharger des applications, des livres électroniques et des jeux, tandis que Kid Connect permettait aux enfants de discuter avec des contacts approuvés par leurs parents. La base de données en arrière-plan de ces comptes était protégée par une sécurité applicative web médiocre.

Un attaquant — qui s'est ensuite confié à Motherboard et a fourni les données à un journaliste plutôt que de les vendre — a utilisé une attaque par injection SQL pour atteindre la base de données Learning Lodge. L'injection SQL est une faille vieille de plusieurs décennies et bien comprise ; VTech n'avait pas assaini les entrées utilisateur, permettant à l'intrus d'interroger directement la base de données. L'entreprise transmettait par ailleurs les données sur des connexions non chiffrées et stockait les mots de passe sous forme de hachages MD5 non salés, les questions et réponses de sécurité étant conservées en clair.

Impact

• 6 368 509 profils d'enfants ont été exposés, contenant noms, sexes et dates de naissance. Certains comptes incluaient des photos de profil, des journaux de conversation et des enregistrements audio de Kid Connect.
• Environ 4,85 millions de comptes parents ont été compromis, exposant noms, adresses e-mail, adresses postales, hachages de mots de passe et questions de sécurité.
• Les pays les plus touchés étaient les États-Unis (≈2,9 millions d'enfants), la France (≈1,17 million) et le Royaume-Uni (≈727 000).
• En décembre 2015, la police britannique a arrêté un homme de 21 ans à Bracknell, en Angleterre, en lien avec l'intrusion.
• En janvier 2018, VTech a conclu un règlement avec la Federal Trade Commission américaine pour 650 000 dollars, première action de la FTC concernant un jouet connecté à Internet. L'agence a estimé que VTech avait enfreint la loi sur la protection de la vie privée des enfants en ligne (COPPA) en collectant des données d'enfants sans information ni consentement parental adéquats, et le FTC Act en omettant de les sécuriser.

Pourquoi c'est important

La fuite VTech a redéfini les données des enfants comme une préoccupation de sécurité de premier ordre. Contrairement aux fuites de cartes bancaires ou d'identifiants, une grande partie de ce qui a été exposé — dates de naissance, photos, enregistrements vocaux, liens parent-enfant — est immuable et particulièrement sensible pour des mineurs, créant des risques durables d'usurpation d'identité et de ciblage.

L'affaire a également révélé la légèreté avec laquelle certains fournisseurs d'objets connectés grand public traitaient la sécurité : une faille d'injection SQL d'école, un transport non chiffré et un hachage de mots de passe faible dans un produit destiné précisément aux enfants. Le règlement COPPA de la FTC a signalé que les régulateurs tiendraient les fabricants de jouets connectés aux mêmes normes de protection des données que tout autre dépositaire d'informations personnelles sensibles, et l'affaire demeure une référence fondatrice pour les débats sur la vie privée des enfants et la sécurité de l'IoT.