Nous joindre par : 0899274448*

Failles improbables pour MasterCard.com

Le mois de janvier aura été, c’est le moins que l’on puisse dire, chargé pour la rédaction de zataz.com. Piratage de données, modifications de sites hexagonaux. Les failles et les fuites seront toujours possibles si aucun humain ne pas prend le temps de regarder et réfléchir sur son espace 2.0. Un exemple avec le site du géant Mastercard.com sauvé par le protocole d’alerte de zataz. Plusieurs vulnérabilités improbables viennent d’être corrigées.

MasterCard.com, le géant de la carte bancaire, vient de corriger plusieurs vulnérabilités dignes d’un débutant du web.

Première faille, des XSS visant l’espace News Room. Comme le montre ma capture écran, il était possible d’afficher tout et n’importe quoi via deux liens officiels vulnérables. Il aurait suffit à un pirate, ayant connaissance de ces failles, de créer une page de filoutage « phishing » sur un espace externe, et de diffuser le lien à de potentielles cibles, des clients Mastercard par exemple. Autant dire que les outils de protection et l’oeil vigilant du lecteur n’y auraient vu que du feu. L’attaque profitant du site et de l’adresse Internet officiels pour se fondre dans l’anonymat.

Mastercard a corrigé ses failles rapidement après l'alerte de zataz.com

Mastercard a corrigé ses failles rapidement après l’alerte de zataz.com

La seconde faille est plus inquiétante encore. Via une Uniform Resource Locator (url), il était possible à n’importe qui de tomber nez-à-nez avec les identifiants de connexion de l’espace incriminé (login et mot de passe, NDR).

Comment était-ce possible ? Un problème technique qui permettait de télécharger les fichiers .htpasswd et .htaccess, deux fichiers permettant, normalement, la sécurisation d’un espace web. Bilan, accéder au chemin d’accès de la page d’administration du wordpress du portail presse de Mastercard n’était plus qu’un jeu d’enfant.

Bref, un mot de passe de 13 signes (lettres minuscules, majuscules et chiffres, ndr) est très bien, à la condition de ne pas le laisser en accès libre. Les problèmes ont été corrigés comme nous l’a précisé le service communication de l’entreprise « Faisant suite à votre mail et notre conversation téléphonique, je viens d’être informée ce matin par nos service IT qu’ils avaient bien pris en compte vos alertes et entrepris d’effectuer des corrections. Au nom de MasterCard, je vous remercie d’avoir porté ces informations à notre attention.« 

Au sujet de l'auteur
Damien Bancal - Fondateur de ZATAZ.COM Journaliste (damienbancal.fr) Travaille sur les sujets cybercriminalité/cybersécurité depuis 1992 ; Officie/a officié pour Europe 2, 01net, Micro Hebdo, La Voix du Nord, Tilt, Entrevue, l’Écho des Savanes, Le Canard Enchaîné, France 3, Nord'way, Programmez ... Premier article en 1989 dans le mensuel "Amstar & CPC" ; Auteurs/coauteurs de 8 livres : "Pirates & hackers sur Internet" (Ed. Desmaret) ; "Hacker, le 5ème pouvoir" (Ed. Maxima) ; Ethical Hacking (Ed. ENI) ; "Tout pour maîtriser votre PC et Internet" (Ed. Que Choisir) ... Intervenant pour la Licence professionnelle Collaborateur pour la Défense et l'Anti-Intrusion des Systèmes Informatiques (CDAISI) IUT de Maubeuge ; Master Cyberdéfense Université de Valenciennes ; Commandant Réserviste Cyberdéfense Gendarmerie Nationale (RCC) ; Reserviste de l'Education Nationale ; Chroniqueur pour WEO TV et France Bleu Nord.

Articles connexes

Laisser un commentaire

*

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.