S’appuyer sur le low code n’est pas sans risque comme le montre l’affaire découverte par la start-up en sécurité UpGuard. Cette dernière a publié une étude montant que plusieurs applications construites à l’aide la plateforme Power Apps de Microsoft ont exposé 38 millions de données aux Etats-Unis. Cette fuite de données résulte d’un paramétrage par défaut de la plateforme low code rendant les données des applications accessibles sans mot de passe.

Dans son analyse, la jeune pousse constate que les données exposées sont variées : des recherches de contacts Covid-19, des rendez-vous de vaccination Covid-19, des numéros de sécurité sociale de candidats à des offres d’emploi, des identifiants d'employés et des millions de noms et d'adresses électroniques. Les entités concernées pas cette exposition sont des Etats ou des villes américaines (Indiana, Maryland, la ville de New York) et des entreprises (American Airlines, Ford Motor, J.B.Hunt et même Microsoft).

Une absence de confidentialité par défaut

Dans le détail, les applications créées avec Power Apps conservent leurs informations dans des feuilles de calcul. Ces dernières sont hébergées dans un service Microsoft appelé Dataverse. Jusqu'en août, les informations contenues dans les feuilles de calcul des applications étaient accessibles par défaut sans mot de passe via une API nommée OData. Les entreprises devaient activer spécifiquement un paramètre de confidentialité via la console d’administration de Power Apps pour éviter l’exposition des données. « Quand un développeur active le flux OData, il doit également cocher l’option « Activer les autorisations de table », sinon le flux sera public », rapportent les chercheurs d’UpGuard.

Alerté par la start-up, Microsoft a résolu le problème dans une mise à jour poussée au début du mois d’août. L’éditeur a modifié les paramètres de Power Apps pour rendre les données des applications inaccessibles par défaut. De son côté, UpGuard a indiqué que « Microsoft a publié un outil pour vérifier les portails Power Apps et les modifications apportées pour que les autorisations de table soient configurées par défaut ».