Selon nos confrères de ZDNet, un serveur contenant une base de données de 60 Go environ (MongoDB) avec des informations personnelles des lecteurs de l'hebdomadaire était librement accessible.
Dans le lot, on retrouve nom, prénom, adresse e-mail, photos de profil, des intitulés de publication et des informations complémentaires associées au profil des utilisateurs. Aucun mot de passe ou donnée bancaire n'était par contre stocké sur ce serveur.
Toujours selon ZDNet, « même après que le magazine a été averti de cette fuite, la base de données est restée exposée sans protection pendant un mois ». Mickey Dimov, un expert en sécurité, est à l'origine de cette découverte. Il a contacté L'Express en janvier, visiblement sans réponse, avant de transmettre les éléments à nos confrères qui ont également contacté l'hebdomadaire.
« Je ne voulais pas que ces données soient effacées car je craignais que leur site web et leur infrastructure y soient intimement connectés » explique Mickey Dimov. Il ajoute qu'il « y avait beaucoup de collections qui semblaient être essentielles à la première page [et] au système d'alerte qu'elles utilisaient pour diffuser les contenus ».
De son côté, L'Express a confirmé la faille à ZDNet, affirmant avoir « été victime d’une intrusion illégale dans l’un de ses serveurs », mais précisant que ce dernier était « inactif » et « autrefois utilisé à des fins de test ». Mais ce ne serait pas le cas puisque la dernière entrée aurait été créée le 20 février 2018.
Nos confrères notent que « L'Express n'a, à notre connaissance, fait aucun effort pour informer ses lecteurs ou les autorités ».
