Le fournisseur européen de services cloud Nextcloud a subi une importante faille de sécurité. Une base de données accessible publiquement contenait environ 367 000 enregistrements, dont des factures, des contrats, des courriels, des données d'employés et des scripts utilisés pour le déploiement de la plateforme chez les clients. Bien que l'entreprise assure que les serveurs des utilisateurs n'ont pas été compromis, les experts avertissent que les informations exposées pourraient être utilisées pour lancer des campagnes d'hameçonnage très crédibles et analyser l'infrastructure des clients. L'analyse a révélé que le cluster Elasticsearch non sécurisé partageait près de 8 Go de données Nextcloud. La base de données contenait environ 367 000 enregistrements, dont des documents PDF, des images PNG, des fichiers Markdown et divers autres formats. D'après les chercheurs, tous les documents se trouvaient dans un seul index correspondant aux archives internes de l'entreprise. Il s'agissait notamment de documents relatifs aux activités de Nextcloud, ainsi que de documents contenant des informations sur les clients et les employés de l'entreprise. Nextcloud est une plateforme open source qui permet de créer son propre cloud pour le stockage de fichiers et la collaboration d'équipe. Cette solution est souvent présentée comme une alternative européenne à Google Drive ou Microsoft OneDrive, et est utilisée aussi bien par les administrations publiques que par les entreprises.

L'élément le plus troublant des documents divulgués s'est avéré être la présence de documents non chiffrés contenant des données commerciales. Les chercheurs ont découvert des factures émises par Nextcloud à ses clients ainsi que des documents transmis à l'entreprise par des sous-traitants. Ces documents incluaient les adresses électroniques des employés, les noms et adresses des entreprises, ainsi que les coordonnées des agents de facturation. La base de données comprenait également des courriels enregistrés au format EML. Ces fichiers contenaient le texte intégral des échanges, les adresses de l'expéditeur et du destinataire, ainsi que les horodatages. Des documents décrivant la collaboration avec les clients, la portée des projets, le nombre d'utilisateurs participant aux mises en œuvre et d'autres informations commerciales ont également été divulgués. Les chercheurs ont également trouvé des listes de participants aux programmes bêta et aux tests de nouvelles fonctionnalités. Ces documents contenaient les noms et adresses électroniques professionnelles.

Les experts ont porté une attention particulière aux scripts préparés pour les clients. Il s'agissait notamment des fichiers shell système et des scripts Python utilisés pour configurer et gérer les environnements Nextcloud. Certains de ces fichiers contenaient des identifiants de base de données codés en dur. Bien que ces informations ne permettent pas à elles seules de prendre le contrôle de l'infrastructure d'un client, elles peuvent grandement faciliter l'analyse des implémentations système et l'identification des vulnérabilités potentielles. Les cybercriminels considèrent ces éléments comme une ressource précieuse pour préparer des attaques plus sophistiquées. Les représentants de Nextcloud ont annoncé que le problème était résolu deux jours après son signalement par les chercheurs. L'entreprise a indiqué que l'incident était dû à une erreur de configuration de l'infrastructure d'hébergement, et non à une vulnérabilité du logiciel lui-même.

D'après le communiqué officiel, aucun serveur appartenant à des clients, partenaires ou autres utilisateurs de la plateforme n'a été compromis. Nextcloud a également indiqué avoir signalé l'incident à l'autorité de protection des données compétente et qu'une enquête interne n'a révélé aucune preuve d'utilisation non autorisée des informations divulguées. Les experts soulignent toutefois que l'absence de preuves ne signifie pas que personne n'a téléchargé les données. Les bases de données Elasticsearch accessibles au public sont régulièrement interrogées par des robots automatisés qui analysent Internet à la recherche de services mal configurés. D'après les experts, la plus grande menace demeure la capacité à concevoir des courriels d'hameçonnage extrêmement convaincants. Grâce à de véritables factures, des noms d'entreprise, des adresses électroniques et des historiques de correspondance, les cybercriminels peuvent créer des messages qui ressemblent à de véritables communications commerciales. Un mécanisme similaire est déjà apparu lors de campagnes très médiatisées ciblant de grandes entreprises, où les attaquants ont utilisé des informations obtenues précédemment lors de fuites de données au lieu des méthodes classiques d'intrusion dans les systèmes.