Carrefour Banque corrige une vulnérabilité sur son site web

Une fuite de données concernant Carrefour Banque permettait d’accéder aux contrats crédits des nouveaux clients. En moins d’heure le problème était résolu.

Voilà une nouvelle fuite de données corrigée grâce à un Protocole ZATAZ. Pendant que l’on entend parler de DELL, Marriott, Ministère des Affaires Étrangères … les entreprises Françaises continuent de fuiter, mais heureusement, de corriger rapidement dès qu’elles sont alertées.

Tout a débuté il y a quelques jours. Des lecteurs de ZATAZ découvraient un problème visant le site Internet de la Banque Carrefour. Ils étaient clients.

Comme le veut le Protocole ZATAZ, je cherche d’abord à trouver sur le site web de l’entreprise « fuiteuse » une adresse électronique du DPO, du responsable sécurité. Mission, trouver l’information en moins de 3 pages 5 clics de souris de souris.

Bref, je me mets dans la tête d’un internaute qui ne passera pas plus de 2 minutes à trouver une information. J’avoue que sur le site web Banque Carrefour, le seul lien trouvé « rapidement » propose d’envoyer un courrier postal au DPO. Autant dire que l’internaute va fermer la fenêtre et ira voir ailleurs.

Je suis donc passé à la phase 2 : mon réseau Linkedin. Là, en 5 minutes, je recevais 6 numéros de téléphone, 10 contacts. Dix minutes plus tard, l’équipe cyber de Carrefour prenait le problème en main.

Faille corrigée en moins d’une heure !

Cachez donc ce numéro de client que je ne saurais voir !

La faille était particulièrement… classique ! Le client demandant un crédit auprès de banque Carrefour reçoit un lien sous la forme suivante : https://www.carrefour-banque.fr/emF0YXouY29t.

Une adresse https (communication entre le client et la banque chiffrée) et un code ouvrant le contrat à imprimer, à signer et à renvoyer à l’entreprise bancaire. Un fichier pdf.

Ce document est sensible. Il comprend comme informations : Identité, adresse postale, mail, revenu, profession, type de contrat de travail, pension alimentaire, logement, téléphone, date de naissance, montant du prêt, …

Le premier problème était que le PDF était accessible à toute personne recevant le lien. Les identifiants de connexion n’étaient réclamés : login et mot de passe.

Ensuite, le mystérieux code [emF0YXouY29t] était le numéro de client codé en base64. Bilan, il suffisait de décoder ce dernier pour connaitre le numéro client. Vous commencez à comprendre le « bug ».

ID, mon meilleur ennemi

Ce fameux numéro était modifiable. Bilan, le client 1 correspondait à MQ== ; le client 2, à Mg== ; etc … En rajoutant le nouveau numéro dans l’url officiel réencodé en base64, le contrat d’un autre client s’affichait. Toujours sans la moindre demande d’authentification de connexion.

Autant dire qu’un pirate en possession de cette faille aurait pu, avec un petit code Python par exemple, écumer les contrats clients, et collecter une manne d’informations loin d’être négligeable.

D’après mes constatations effectuées dans les black market, aucune trace de prise en main de cette faille par des pirates.

Permettre d’être alerté, vite et bien

Pour vos sites, blog, … penser à cet espace « sécurité » indispensable pour vous remonter une information. Je peux conseiller, comme j’ai pu le faire dans le podcast “La French Connexion“, l’installation sur votre serveur du dossier /.well-know/security.txt dans lequel vous aller placer le moyen de vous contacter, vite et bien, en cas de problème. Pour créer votre Security.txt.

Ça peut toujours servir

ZATAZ propose un service de veille qui permet de mettre sous surveillance des informations de votre choix (mail, téléphone, …). Si ces données que vous avez laissé sur un site web, portail, boutique … apparaissent dans le black market, dans les mains de pirates informatiques (vente, diffusion …), ZATAZ vous alertera dans la seconde. Vous pourrez ainsi agir en conséquence : changer de mot de passe, clôturer compte compromis, dépôt de plainte …