Et donc plein de backups sont fait avec une config par défaut qui stocke rien du coup et les gens ne s'en rendent pas compte ? (j'ai surtout été surpris par ça )

Oui, mais vu qu'on ne sait pas de quel soft il s'agit, c'est difficile de savoir quel genre de backup est fait.
Ca peut être tes conversations whatsapp (il a parlé d'OpenSource, donc non) ou juste des settings pour Postman... Va savoir.
Si veux faire payer une entreprise, tu trouves le nom de son Bucket S3, tu multiplies les requêtes qui aboutissent en 4xx et l'entreprise doit payer.

C'est un ransomware bien moins cher que de tenter de crypter un serveur dans une entreprise... 😒🤨