Si vous avez déjà loué chez Redbox, vos informations privées sont à gagner

Redbox est mort, mais l'ancien service de location de films laisse aux clients un dernier cadeau de Noël sous la forme d'implications durables sur la vie privée. Si vous avez déjà choisi de louer un film via un kiosque Redbox, vos informations privées attendent que n'importe quel bricoleur mette la main dessus. Un programmeur qui a procédé à l'ingénierie inverse du disque dur d'un kiosque a prouvé que les machines Redbox peuvent générer des historiques de transactions comportant les noms, les adresses e-mail et les locations des clients remontant à près d'une décennie. Une partie de votre numéro de carte de crédit peut même être stockée sur l'appareil.

Les propriétaires de Redbox, Chicken Soup for the Soul, ont déclaré faillite en juillet. Depuis lors, les kiosques aujourd'hui disparus sont devenus des objets de collection pour tous ceux qui souhaitent un morceau de l'histoire des médias physiques. La semaine dernière, l'un de ceux qui bricolaient les anciens kiosques, un programmeur californien nommé Foone Turing, a réussi à récupérer un fichier non crypté du disque dur interne contenant un fichier indiquant les e-mails, les adresses personnelles et l'historique de location de l'un ou l'autre. une fraction ou la totalité de ceux qui ont déjà utilisé le kiosque.

Si jamais vous avez décidé de louer Demolition Man 10 fois de suite, quelqu'un avec suffisamment de savoir-faire le saura peut-être. Sur Mastodon, Foone a déclaré que l'image des enregistrements stockés sur les données du disque dur auxquelles elle a accédé remonte à « au moins 2015 » avec un total de 2 471 transactions. Foone a déclaré qu'il n'avait même pas de machine sous la main, mais qu'il avait accédé au logiciel après l'avoir téléchargé sur Internet. Il semble que la machine originale était basée à Morganton, en Caroline du Nord, car la programmeuse a affirmé avoir réussi à trouver une personne qui avait loué The Giver et The Maze Runner il y a neuf ans, en se basant sur son nom et son code postal.

Gizmodo a contacté le programmeur pour voir si elle utilisait un disque physique ou si elle avait trouvé les données du disque dur en ligne. Turing a déclaré à Lowpass que la Redbox stockait certaines informations financières sur ces disques, notamment les six premiers et quatre derniers chiffres de chaque carte de crédit utilisée et « certains détails de transaction de niveau inférieur ». Les appareils se sont apparemment connectés à un système de paiement sécurisé via les serveurs de Redbox, mais ils ont stocké d'autres détails « cela ne devrait vraiment pas », a déclaré l'amateur d'ingénierie inverse aux journalistes.

Les machines fonctionnaient apparemment sous Windows 7, un système d'exploitation officiellement disparu depuis 2020. Bien que vous puissiez accéder au logiciel et faire de l'ingénierie inverse, ces machines ne feront pas grand-chose d'autre que de ne pas se connecter à un serveur désormais mort. Il n'est actuellement pas clair si chaque Redbox stockait les mêmes informations, ou si ces données stockées sur le kiosque correspondaient à chaque transaction traitée par la machine.

Turing a déclaré qu'elle n'avait trouvé que 2 500 transactions sur la machine, ce qui semble faible compte tenu de la durée pendant laquelle la machine était apparemment opérationnelle. Il est possible qu'il n'ait stocké les informations utilisateur que lorsqu'il n'a pas pu se connecter au serveur Redbox, pour une raison quelconque. Cependant, ce nombre de clients n'est pas très éloigné si l'on considère que la population de Morganton, en Caroline du Nord, ne compte qu'environ 17 500 personnes.

Turing a fortement critiqué le code de Redbox en le qualifiant de « merde d'entreprise ». Elle a déclaré à Ars Technica que les données étaient dans un ancien format de base de données, mais que « toute personne possédant des compétences de base en piratage informatique pouvait facilement extraire manuellement les données des fichiers avec un éditeur hexadécimal ». En termes simples, toute personne ayant accès à une machine et disposant de suffisamment de temps libre pourrait extraire ces informations du disque dur d'un kiosque Redbox.

Une chose utile à propos des machines est qu'elles peuvent très bien exécuter Doom puisqu'elles sont toutes sous Windows 7. Chaque disque dur possède une base de données qui répertorie l'emplacement de chaque machine Redbox précédente, selon le programmeur.

« C'est le genre de code que vous obtenez lorsque vous embauchez 20 nouveaux diplômés qui connaissent techniquement le C#, mais aucun d'entre eux n'a écrit de logiciel auparavant », a-t-elle écrit.

Le pire, c'est que ces kiosques sont tous à gagner, et Chicken Soup for the Soul ne fait aucun effort réel pour collecter ou effacer ses 24 000 machines trouvées devant les pharmacies et les 7-Elevens à travers les États-Unis. Les gens demandent simplement à leur les propriétaires de magasins locaux s'ils peuvent emporter les vieilles machines Redbox, et certains magasins les laissent, selon un rapport publié ce mois-ci par le Wall Street Journal.