Il pouvait consulter leurs noms , adresses email , numéros de téléphone et adresses . Étant donné l'ampleur de sa trouvaille , il s'est empressé de prévenir l'entreprise . Il pense cependant qu'en creusant plus , il aurait pu « accéder à des éléments comme l'adresse de facturation , les cartes cadeaux , les récompenses ou les offres , puis les modifier . » Starbucks a évité un scandale autour des données grâce à son programme de bug bounty . // . peargui / Pixabay Sam Curry a déposé sa preuve de concept sur la plateforme de bug bounty de Starbucks le 16 mai . Le lendemain , la faille était réparée , et deux jours plus tard , il recevait une prime de 4 000€ , la récompense maximale prévue par le programme . Starbucks sauvé par son programme de bug bounty Le hacker a commencé son enquête en remarquant plusieurs « API suspectes » pendant son achat d'une carte cadeau . Les sites sont généralement reliés à toutes sortes de logiciels par les API , ou interfaces de programmation , qui permettent d'intégrer certaines fonctionnalités . Puisque Sam Curry gagne son pain en trouvant des bugs , et que Starbucks dispose d'un programme de bug bounty qui cadre le périmètre des recherches et le montant des récompenses , il s'est penché plus sérieusement sur la piste qu'il flairait . Après plusieurs manipulations techniques détaillées dans son billet de blog , il est parvenu à remonter une des API jusqu'à une instance de Microsoft Graph non protégée . Ce service de Microsoft sert de passerelle pour accéder au large volume de données générées par Microsoft 365 , Windows 10 ou encore Enterprise Mobility + Security . Avec son accès , le hacker a pu lancer des fonctions comprises Microsoft Graph , qui lui ont permis de connaître le nombre total d'utilisateurs dans la base , de chercher certains noms précis ou encore de la télécharger . Bien évidemment , l'accès au Graph aurait dû être soumis à une procédure d'authentification .