Fonction Lightshot. En tant que service de capture d’écran le plus populaire depuis des années, il a divulgué des données utilisateur sur le réseau.

Lightshot génère des URL publiques qui sont des proies faciles pour les escrocs.

Les gens, dans le noir, partagent eux-mêmes leurs informations sensibles en ligne lorsqu’ils utilisent la populaire application de capture d’écran Lightshot. Les URL de dizaines de captures d’écran prises avec l’application peuvent facilement être trouvées en ligne, ce qui en fait une proie facile pour les cybercriminels.

L’ application Lightshot, détenue par la société de développement de logiciels Skillbrains, est populaire auprès de millions de personnes qui reçoivent et envoient des dizaines de captures d’écran chaque jour. En prenant une capture d’écran, une personne peut télécharger son image sur le serveur de l’entreprise avec une URL publique. Il est possible d’enregistrer une capture d’écran sur votre téléphone ou de la partager sur un réseau social.

L’URL est également nécessaire pour que les utilisateurs puissent envoyer leurs captures d’écran à des amis, à la famille ou à des collègues. Lightshot a déjà téléchargé plus de deux milliards de captures d’écran sur le Web. Cependant, le processus de génération des URL elles-mêmes laisse beaucoup à désirer.

Tous les liens de capture d’écran ont un format simple: «prnt.sc/ » (serveur Lightshot) + un code alphanumérique à six caractères. Cela signifie que n’importe qui peut entrer "prnt.sc/" et une combinaison aléatoire de six chiffres et lettres et tomber sur la capture d’écran téléchargée par un autre utilisateur. De telles situations se sont produites à plusieurs reprises pendant toute l’existence du programme sur le marché.

La première version de Lightshot a eu lieu en 2014. Depuis lors, l’application a été activement développée et est devenue disponible sous forme d’extensions pour les navigateurs et d’une version de bureau pour le système d’exploitation. Le programme est compatible avec Mac et Windows, et dispose également de plugins pour Chrome et Firefox. Plus d’un million de personnes utilisent ce module complémentaire sur Google Chrome et environ 40 000 sur Firefox. Sur les téléphones Android, l’application a été installée à partir de Google Play plus de 500 000 fois.

Si vous regardez les résultats de 11 000 URL générées de manière aléatoire et créées par le système utilisé par Lightshot, vous pouvez facilement trouver des photos privées de ses utilisateurs. La plupart des liens ne fonctionnent pas, bien sûr, car les captures d’écran ont déjà été supprimées ou sont introuvables. Cependant, de nombreuses URL appartiennent à des captures d’écran qui incluent des noms, des adresses, des numéros de contact, des coordonnées bancaires et même des parties intimes du corps des utilisateurs de l’application.

Le script automatisé a trouvé 529 images affichables sur 11 000 URL générées. Environ 63 % de ces captures d’écran contenaient des informations absolument inutiles : extraits de jeux vidéo, listes de souhaits, instructions de codage.

Environ 20 % des images analysées comprenaient des données qui pourraient être utilisées pour voler des informations personnelles ou pirater d’autres comptes. Les gens ont partagé des instantanés de conversations, d’e-mails et de publications sur les réseaux sociaux avec des amis en utilisant des noms d’utilisateur identifiables.

L’analyse a montré que 8 % des captures d’écran contenaient des informations plus personnelles et privées. Parmi eux se trouvent des photos intimes prises lors d’appels vidéo ; 6 captures d’écran d’utilisateurs enfants et 30 images montrant clairement les noms, les informations d’enregistrement et bancaires, les numéros de téléphone, les adresses IP et les adresses de livraison des personnes.

« Donner un accès public aux données sensibles des utilisateurs est inacceptable. Cela se produit parce que les plateformes numériques économisent de l’argent sur la protection des informations personnelles de leurs clients.

Selon Bhagya Wimalasiri, chercheur en sécurité des systèmes avancés à l’Université de Sheffield, de telles plateformes sont construites sur des modèles qui monétisent «l’ idée d’insécurité» elle-même. Sans penser à la sécurité de l’utilisateur, ces applications étendent leurs fonctionnalités afin d’attirer plus de clients. L’un de ces "puces" sont des captures d’écran avec un accès public.

Skillbrains, propriétaire de Lightshot, n’a pas encore commenté. Cependant, les conditions d’utilisation de l’application indiquent que toutes les images téléchargées ne sont pas privées. "La capture d’écran sera disponible pour toute personne entrant son URL exacte. Aucune image téléchargée sur notre site ne peut être privée », indique la politique de sécurité du programme. "Notre site est conçu pour partager des photos, pas pour les protéger des menaces extérieures."

Le fait que n’importe qui puisse trouver des photos sensibles sur le site Lightshot n’est pas un grand secret. Grâce à une pratique telle que le grattage Web, une personne peut obtenir environ 13 000 liens vers des captures d’écran accessibles au public. De plus, il existe des programmes spéciaux qui aideront à analyser les images reçues pour les données personnelles et les photos intimes.

Les conditions d’utilisation de Lightshot stipulent également qu’il est interdit aux utilisateurs de télécharger des photos contenant du contenu pour adultes ou représentant une violation de la loi. Cependant, tout le monde ne suit pas ces règles. Il convient également de noter que ni l’application Lightshot elle-même ni la page d’accueil de son site Web n’indiquent clairement que toutes les URL de capture d’écran sont publiques.

Une telle négligence permet aux criminels de mener de nombreuses attaques différentes. Avec les bonnes informations, ils peuvent voler vos informations d’identification, retirer de l’argent de votre carte ou effectuer un hameçonnage banal.

Les clients et l’entreprise elle-même sont conjointement responsables d’empêcher la divulgation d’informations personnelles. Les gens doivent être conscients que leurs photos deviennent publiques immédiatement après le téléchargement. Ils devraient également faire un peu plus attention aux captures d’écran qu’ils téléchargent sur le site.

Basé sur Wired UK.