Trois semaines sans mot de passe : une base de test IA exposée sur Google
D'après The Register - PWNED (Mia Morin, Intimeros), relayé par The Register
Image : générée (Gemini)
Rédigé à partir de la source originale; chaque fait est vérifié contre le texte source.
À retenir
- Pendant une refonte, une collègue de Mia Morin avait désactivé la protection par mot de passe du site de test pour la montrer à un client - et personne ne l'a réactivée pendant trois semaines.
- Faute de fichier robots.txt pour exclure ce domaine bêta, Google a fini par indexer les pages du site de test, les rendant visibles publiquement.
- Le site de test était relié à une copie en direct de la vraie base de données de production d'Intimeros : n'importe qui pouvait voir des avis non publiés, des prix et des notes de produit internes.
- Aucune donnée d'utilisateur n'a fuité : il s'agissait uniquement de contenu éditorial interne, précise The Register - mais des concurrents auraient pu y lire toute la stratégie éditoriale d'Intimeros.
- Une fois le problème repéré, Intimeros a rétabli la protection, bloqué l'indexation et régénéré tous les mots de passe et jetons d'accès du système.
Pourquoi ça compte
L'incident montre qu'un simple oubli sur un environnement de TEST - pas la production elle-même - suffit à exposer la stratégie d'affaires d'une entreprise pendant des semaines sans que personne ne s'en aperçoive, un risque que les moteurs de recherche amplifient dès qu'un site bêta n'est pas exclu de l'indexation.
Chiffre-clé
Le site de test est resté accessible sans protection par mot de passe pendant trois semaines avant d'être corrigé, selon Mia Morin, citée par The Register le 27 août 2026.
Citation
« We restored password protection, blocked search engines from indexing the draft pages and changed all the system access keys » Mia Morin, éditrice et analyste qualité IA chez Intimeros
Action concrète
Avant une démonstration à un client, désactiver temporairement un contrôle d'accès sur un environnement de test devrait toujours être suivi d'une réactivation vérifiée - et d'un fichier robots.txt qui exclut ce domaine de l'indexation.
Fondée sur la source originale
Sources
- The Register - PWNED (Mia Morin, Intimeros) : Compte-rendu direct et seule source publiée de l'incident, via des citations attribuées à Mia Morin.
- Relais média : The Register → · Lire en français
