Outils / Actualités / Un million de scans de passeports exposés dans un stockage cloud public. Le traitement dans le navigateur évite tout ce mode de défaillance.
Presse

Un million de scans de passeports exposés dans un stockage cloud public. Le traitement dans le navigateur évite tout ce mode de défaillance.

· VaultTools

Le 15 mai 2026, TechCrunch a rapporté que le système d'enregistrement hôtelier japonais Tabiq avait exposé plus d'un million de scans de passeports, de permis de conduire et de photos de vérification via un bucket Amazon S3 public. La leçon pour les outils de fichiers est structurelle.

VaultTools · 23 mai 2026

Un passeport posé sur un bureau en bois, illustrant le type de document d'identité exposé dans la fuite Tabiq. Photo de Henry Be sur Unsplash

Table des matières

Ce Qui S’est Passé

Le 15 mai 2026, TechCrunch a rapporté que Tabiq, un système d’enregistrement utilisé dans plusieurs hôtels japonais, avait laissé plus d’un million de documents clients accessibles sur l’internet public. Les fichiers exposés comprenaient des scans de passeports, des permis de conduire et des photos de vérification de type selfie. Les enregistrements couvraient la période allant de début 2020 à mai 2026.

Tabiq est exploité par la startup japonaise Reqrea. Le produit demande aux clients d’hôtel de téléverser leurs documents d’identité à l’arrivée et utilise la reconnaissance faciale pour les comparer à un selfie. Les données étaient stockées dans un bucket Amazon S3 nommé «tabiq», configuré en accès public et consultable par quiconque connaissait le nom du bucket. Ce bucket était également indexé par GrayHatWarfare, un moteur de recherche public dédié aux stockages cloud exposés.

Le chercheur indépendant en sécurité Anurag Sen a découvert l’exposition et l’a signalée. Reqrea a verrouillé le bucket après que TechCrunch a contacté l’entreprise et l’équipe japonaise de coordination en cybersécurité JPCERT. Le directeur Masataka Hashimoto a déclaré que l’entreprise mène «un examen approfondi avec le soutien d’un conseil juridique externe» et prévoit de notifier les personnes concernées. Reqrea a ajouté qu’elle ignore encore comment le bucket est devenu public.

Comment le Bucket a Fuité

Le mécanisme est la cause la plus courante des fuites de données cloud: un conteneur de stockage sans exigence d’authentification, posé sur un nom devinable. Pas de faille zero day. Pas de chaîne d’outils d’attaquant. Un navigateur web pointé vers la bonne URL suffisait. Des indexeurs indépendants comme GrayHatWarfare scrutent ce motif en continu, ce qui réduit pratiquement à zéro le délai entre «découvrable» et «découvert» dès qu’un bucket est mal configuré.

Reqrea n’a pas publié de chronologie indiquant à quel moment le bucket est devenu public pour la première fois, et l’entreprise a déclaré qu’elle examine encore les journaux pour déterminer si quelqu’un d’autre que le chercheur a accédé aux données.

Pourquoi les Services Cloud Échouent Toujours de la Même Manière

Chaque service cloud hérite du même modèle de menace. Un document est collecté chez l’utilisateur, transmis à un serveur, écrit en stockage et conservé pendant une certaine durée. Chaque étape dépend d’une configuration que des humains mettent en place et maintiennent. L’incident Tabiq est la dernière entrée d’une longue série: rien qu’en 2026, des rapports publics ont documenté des stockages d’objets mal configurés exposant un portail d’identité français, des plateformes hôtelières et des dossiers médicaux.

La revue hebdomadaire des fuites de données de Privacy Guides pour la semaine du 15 au 21 mai a listé Tabiq aux côtés d’une exposition séparée de 1,8 million de dossiers médicaux et de données biométriques chez NYC Health + Hospitals. Le point commun n’est pas l’attaquant. C’est l’architecture. Lorsqu’un service détient votre fichier, votre vie privée dépend de son pire jour de configuration.

L’alternative Structurelle

Un outil de traitement de fichiers exécuté dans le navigateur traite le document à l’intérieur de l’onglet. Les octets n’atteignent jamais un serveur. Pas de bucket à mal configurer, pas de politique de rétention à auditer, pas de conditions d’utilisation à interpréter, et pas d’indexeur capable de retrouver le fichier plus tard. Les runtimes WebAssembly modernes exécutent du code Rust, C et C++ à une vitesse proche du natif, ce qui suffit pour la fusion de PDF, la compression d’images, le retrait des EXIF, la modification de métadonnées et la conversion de documents entièrement sur l’appareil.

Les chercheurs en sécurité commencent à appeler cela la vie privée structurelle. Ce n’est pas une promesse inscrite dans une politique. C’est une propriété de l’architecture. Un serveur qui ne reçoit pas un fichier ne peut pas l’exposer.

Ce Qu’il Faut en Retenir

Si votre flux de travail implique le téléversement d’un passeport, d’un contrat, d’un scan médical, d’une déclaration fiscale ou de tout document que vous ne souhaiteriez pas voir indexé par un moteur public, la bonne question n’est pas «ce prestataire a-t-il une bonne sécurité». La bonne question est «ce prestataire a-t-il vraiment besoin de recevoir mon fichier». Pour des opérations de routine comme la compression, la conversion, la suppression de métadonnées et le changement de format, la réponse est de plus en plus non.

La fuite Tabiq sera corrigée, les utilisateurs concernés seront notifiés et le cycle de l’actualité passera à autre chose. L’architecture qui l’a produite ne changera pas. Choisir des outils qui ne collectent pas le fichier au départ reste la seule réponse durable.

Sources

← Retour aux actualités