Naukri a exposé les adresses e-mail des recruteurs, selon un chercheur

Naukri.com , un site Web d'emploi indien populaire, a corrigé un bug qui exposait les adresses e-mail des recruteurs utilisant sa plateforme pour rechercher et embaucher des talents en ligne.

Le problème, découvert par le chercheur en sécurité Lohith Gowda, affectait l'API utilisée par Naukri sur ses applications Android et iOS. Cette API exposait les adresses e-mail des recruteurs consultant les profils de candidats potentiels sur la plateforme de Naukri. Le problème ne semblait pas affecter le site web de l'entreprise.

« Les identifiants de messagerie des recruteurs exposés peuvent être utilisés pour des attaques de phishing ciblées, et les recruteurs peuvent recevoir un nombre excessif d'e-mails non sollicités et de spams », a déclaré Gowda à TechCrunch.

Il a ajouté que les identifiants de courrier électronique exposés pourraient être ajoutés à des bases de données publiques de violations ou à des listes de spam, et que le grattage massif d'adresses électroniques pourrait conduire à des abus de robots automatisés ou à des escroqueries.

TechCrunch a confirmé l'exposition après que le chercheur a partagé des détails sur le bug. Ce dernier a confirmé à TechCrunch que le problème avait été corrigé en début de semaine, ce que Naukri a confirmé vendredi.

« Toutes les améliorations identifiées sont mises en œuvre, garantissant ainsi la mise à jour et la résilience de nos systèmes », a déclaré Alok Vij, responsable de l'infrastructure informatique chez InfoEdge, société mère de Naukri, à TechCrunch par e-mail. « Nos équipes n'ont détecté aucune activité habituelle affectant l'intégrité des données utilisateur. »

Fondé en mars 1997, Naukri.com est le premier site de recrutement de petites annonces en Inde. Il met en relation recruteurs, employeurs et demandeurs d'emploi. Outre l'Inde, le site est également présent au Moyen-Orient sous le nom de Naukrigulf.com.

« Certaines fonctionnalités de nos profils de recruteurs sont publiques afin de permettre aux utilisateurs de savoir qui a accès à leur(s) profil(s). Nous effectuons régulièrement des audits et des évaluations de sécurité », a déclaré Vij.