Un propriétaire de Model 3 a pu avoir accès à 1,5 million de mails d'utilisateurs des forums Tesla
Surréaliste : c'est le premier mot qui vient à l'esprit à la lecture de l'histoire de Daniel Eleff, publiée sur son site DansDeals le 19 novembre 2018.
Ce qui veut dire que Daniel Eleff a pu voir les adresses mail de plus de 1,5 million de comptes enregistrés. « C’est incroyable qu’une entreprise aussi technologiquement avancée que Tesla puisse avoir une telle faille de sécurité », souligne celui qui est devenu administrateur des forums en passant un simple coup de téléphone.
Une histoire de livraison
À l'origine, Daniel Eleff voulait simplement partager son vécu après la livraison -- chaotique -- de sa Model 3, entre multiples retards et soucis une fois la voiture arrivée chez lui. Voyant que son post sur les forums a été supprimé sans raison et dans l'incapacité de le soumettre à nouveau, il a appelé Tesla pour obtenir les droits normalement accordés aux propriétaires. Premier choc : l'employé qu'il a eu au bout du fil ne savait pas que des forums existaient.
Daniel Eleff a finalement eu gain de cause, sauf qu'il a eu accès à l'outil d'administration. De là, il pouvait :
Créer un nouveau sujet de forum ;
Gérer la base de données ;
Voir le profil des employés ;
Éditer les profils ;
Chercher des comptes ;
Trouver le profil d'Elon Musk (inactif depuis 3 ans et demi) ;
Accorder des permissions ;
Modifier les informations du site ;
Créer la réservation d'une voiture ;
Planifier l'installation d'un Supercharger.
Daniel Eleff a vite compris le pourquoi du comment de tous ces pouvoirs : Tesla lui avait assigné un profil d'agent du service client plutôt que celui d'un simple propriétaire. Deuxième choc : selon ses recherches, il n'est pas le seul à avoir bénéficié de cette faveur.
Bon prince, il a prévenu Tesla qui lui a répondu : « Vous avez été gratifié par inadvertance d’un niveau d’accès supérieur aux forums Tesla […]. Cette erreur vous a permis de voir les adresses mail associées aux utilisateurs, mais vous n’avez jamais eu accès à des informations plus personnelles ». Minimisant le souci et se basant sur ses investigations, le constructeur estime que ces « permissions malencontreusement accordées » n'ont pas abouti à des abus. Tout va bien chez Tesla.