Google Maps : Collecte des données WiFi par les voitures Street View

Il y a neuf jours, l’autorité de protection des données de Hambourg, en Allemagne, nous a demandé l’autorisation de consulter les données WiFi que nos véhicules Street View collectent pour des produits utilisant la géo-localisation comme Google Maps pour mobile, qui permet aux internautes de trouver des restaurants à proximité ou des itinéraires. Cette requête nous a emmené à ré-examiner tout ce que nous avons collecté, et nous avons découvert qu’une déclaration faite sur un article de ce blog était incorrecte.

Dans ce billet, et dans une note technique envoyée aux autorités, nous disons que Google collecte bel et bien des informations publique comme le SSID (le nom du réseau WiFi) et l’adresse MAC (le numéro unique donné à un appareil comme un routeur) depuis les voitures Street View, mais que nous ne collectons pas les données échangées. Il est cependant maintenant clair que nous avons collecté par erreur des échantillons des données de réseaux WiFi publics (c’est à dire non protégées), données que nous n’avons bien entendu jamais utilisé dans nos divers produits.

Toutefois, nous n’avons collecté que des fragments de données car : nos voitures sont en constant déplacement; quelqu’un doit utiliser le réseau pile au moment où notre voiture passe à proximité; et notre équipement WiFi change automatiquement de réseau environ 5 fois par seconde. De plus, nous n’avons collecté aucune donnée transmise par protocole sécurisé.

Dès que nous avons été averti de ce problème, nous avons rappeler nos voitures Street View pour isoler les données sur notre réseau, que nous avons ensuite déconnecté pour le rendre inaccessible. Nous voulons supprimer ces données dès que possible, et sommes en contact avec les autorités des pays concernés pour trouver une solution à court terme.

Maintenir un niveau de confiance élevé est crucial dans tout ce que nous entreprenons, et dans ce cas nous nous sommes trompé. Nous allons donc :

• Faire appel à une personne tierce pour passer en revue le logiciel mis en cause, et vérifier que les données ont bien été supprimées, et
• Revoir nos procédures internes pour nous assurer que nos contrôles sont suffisamment robustes pour déceler ce genre de problème à l’avenir.

De plus, avec les inquiétudes naissantes, nous avons décidé de ne plus collecter aucune donnée WiFi avec nos voitures Street View.

Cet incident souligne la vulnérabilité des réseau WiFi non protégés. En début d’année, nous avons mis en place le protocole SSL pour les utilisateurs de Gmail, et la semaine prochaine nous commencerons à crypter le moteur de recherche Google. Pour les autres services, les utilisateurs peuvent savoir si les pages sont cryptées en regardant su l’URL commence par “https”, ou par “http” ; les navigateurs affichent généralement une icône en forme de cadenas lorsque la connexion est sécurisée Pour plus d’informations sur la protection de votre réseau, consultez cet article.

L’équipe des ingénieurs de Google travaille très dur pour mériter votre confiance — et nous sommes pleinement conscient de notre échec dans ce cas. Nous sommes profondément désolés pour cette erreur et sommes déterminer à en retirer les leçons qui s’imposent.

Par Alan Eustace, Vice Président Sénior, Ingénierie et Recherche