La FNAC Suisse corrige une fuite de données

Des pirates informatiques avaient annoncé l’infiltration d’un des espaces web de la filiale Suisse de la FNAC. L’entreprise helvétique a corrigé, discrétement.

Une injection SQL dans le site de la filiale Suisse de la FNAC n’est pas une grande nouveauté. Le protocole d’alerte de ZATAZ, que vous pourrez retrouver début juillet à la Nuit du Hack 2016, a pu permettre la correction d’un accès non prévu, en avril 2015, dans la boutique helvétique. J’étais passé par l’efficace équipe de sécurité informatique de la société Française.

Il y a quelques jours, plusieurs pirates informatiques ont tenté de se faire de la « pub » en annonçant avoir piraté la FNAC Suisse via une SQLi. La faille, connue depuis plusieurs semaines, avaient été découvertes dans un espace « indirect » du site dédié aux événements Facebook de l’entreprise.La vulnérabilité a été corrigée depuis.

Fuite de données ?

Les pirates indiquaient avoir mis la main sur des données clients. Possible ? Oui, cela est possible, mais rien ne prouve un potentiel vol. Ce qui est sûr, les malveillants ont eu accès, pour être précis, à l’espace « production » du site Fnac.ch. Dans cette base de données, j’ai pu constater via un document qu’ils ont diffusé sur PasteBin, 188 tables de la BDD, dont certaines aux noms évocateurs : backup_adherent, adherents TMP, Adherent_BKPavril…

Impossible de savoir si les données étaient incluses dans cette base de données et les tables attenantes.