Voilà une nouvelle fuite de données corrigée grâce à un Protocole ZATAZ. Pendant que l’on entend parler de DELL, Marriott, Ministère des Affaires Étrangères … les entreprises Françaises continuent de fuiter, mais heureusement, de corriger rapidement dès qu’elles sont alertées.
Tout a débuté il y a quelques jours. Des lecteurs de ZATAZ découvraient un problème visant le site Internet de la Banque Carrefour. Ils étaient clients.
Comme le veut le Protocole ZATAZ, je cherche d’abord à trouver sur le site web de l’entreprise « fuiteuse » une adresse électronique du DPO, du responsable sécurité. Mission, trouver l’information en moins de 3 pages 5 clics de souris de souris.
Bref, je me mets dans la tête d’un internaute qui ne passera pas plus de 2 minutes à trouver une information. J’avoue que sur le site web Banque Carrefour, le seul lien trouvé « rapidement » propose d’envoyer un courrier postal au DPO. Autant dire que l’internaute va fermer la fenêtre et ira voir ailleurs.
Je suis donc passé à la phase 2 : mon réseau Linkedin. Là, en 5 minutes, je recevais 6 numéros de téléphone, 10 contacts. Dix minutes plus tard, l’équipe cyber de Carrefour prenait le problème en main.
Faille corrigée en moins d’une heure !
La faille était particulièrement… classique ! Le client demandant un crédit auprès de banque Carrefour reçoit un lien sous la forme suivante : https://www.carrefour-banque.fr/emF0YXouY29t.
Une adresse https (communication entre le client et la banque chiffrée) et un code ouvrant le contrat à imprimer, à signer et à renvoyer à l’entreprise bancaire. Un fichier pdf.
Ce document est sensible. Il comprend comme informations : Identité, adresse postale, mail, revenu, profession, type de contrat de travail, pension alimentaire, logement, téléphone, date de naissance, montant du prêt, …
Le premier problème était que le PDF était accessible à toute personne recevant le lien. Les identifiants de connexion n’étaient réclamés : login et mot de passe.
Ensuite, le mystérieux code [emF0YXouY29t] était le numéro de client codé en base64. Bilan, il suffisait de décoder ce dernier pour connaitre le numéro client. Vous commencez à comprendre le « bug ».
Ce fameux numéro était modifiable. Bilan, le client 1 correspondait à MQ== ; le client 2, à Mg== ; etc … En rajoutant le nouveau numéro dans l’url officiel réencodé en base64, le contrat d’un autre client s’affichait. Toujours sans la moindre demande d’authentification de connexion.
Autant dire qu’un pirate en possession de cette faille aurait pu, avec un petit code Python par exemple, écumer les contrats clients, et collecter une manne d’informations loin d’être négligeable.
D’après mes constatations effectuées dans les black market, aucune trace de prise en main de cette faille par des pirates.
Pour vos sites, blog, … penser à cet espace « sécurité » indispensable pour vous remonter une information. Je peux conseiller, comme j’ai pu le faire dans le podcast “La French Connexion“, l’installation sur votre serveur du dossier /.well-know/security.txt dans lequel vous aller placer le moyen de vous contacter, vite et bien, en cas de problème. Pour créer votre Security.txt.
ZATAZ propose un service de veille qui permet de mettre sous surveillance des informations de votre choix (mail, téléphone, …). Si ces données que vous avez laissé sur un site web, portail, boutique … apparaissent dans le black market, dans les mains de pirates informatiques (vente, diffusion …), ZATAZ vous alertera dans la seconde. Vous pourrez ainsi agir en conséquence : changer de mot de passe, clôturer compte compromis, dépôt de plainte …
Pingback: ZATAZ Fuite de données pour un spécialiste Français du recrutement – ZATAZ





Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.
Revue de presse : ZATAZ Revue de presse
Réseaux sociaux : TW/FB/TK/Masto/LK
DSB : Data Security Breach
Page officielle Damien Bancal
Remonter un problème.
Mentions légales.
Certaines images viennent de Freepik.
Typo titre : adrien-coquet.com

Protocole ZATAZ (2022) : 80 321
Taux de correction (100 derniers cas) : 95 %
Alerter anonymement.
Espaces pirates sous surveillance: 397 026 Alertes envoyées au 01/11/2022 : 14 796 Fuites constatées en 2022 : + 22 milliards Service veille ZATAZ : veillezataz.com

source

Catégorisé:

monnaie dubai

Étiqueté dans :

, ,