Failles improbables pour MasterCard.com

Le mois de janvier aura été, c’est le moins que l’on puisse dire, chargé pour la rédaction de zataz.com. Piratage de données, modifications de sites hexagonaux. Les failles et les fuites seront toujours possibles si aucun humain ne pas prend le temps de regarder et réfléchir sur son espace 2.0. Un exemple avec le site du géant Mastercard.com sauvé par le protocole d’alerte de zataz. Plusieurs vulnérabilités improbables viennent d’être corrigées.

MasterCard.com, le géant de la carte bancaire, vient de corriger plusieurs vulnérabilités dignes d’un débutant du web.

Première faille, des XSS visant l’espace News Room. Comme le montre ma capture écran, il était possible d’afficher tout et n’importe quoi via deux liens officiels vulnérables. Il aurait suffit à un pirate, ayant connaissance de ces failles, de créer une page de filoutage « phishing » sur un espace externe, et de diffuser le lien à de potentielles cibles, des clients Mastercard par exemple. Autant dire que les outils de protection et l’oeil vigilant du lecteur n’y auraient vu que du feu. L’attaque profitant du site et de l’adresse Internet officiels pour se fondre dans l’anonymat.

Mastercard a corrigé ses failles rapidement après l’alerte de zataz.com

La seconde faille est plus inquiétante encore. Via une Uniform Resource Locator (url), il était possible à n’importe qui de tomber nez-à-nez avec les identifiants de connexion de l’espace incriminé (login et mot de passe, NDR).

Comment était-ce possible ? Un problème technique qui permettait de télécharger les fichiers .htpasswd et .htaccess, deux fichiers permettant, normalement, la sécurisation d’un espace web. Bilan, accéder au chemin d’accès de la page d’administration du wordpress du portail presse de Mastercard n’était plus qu’un jeu d’enfant.

Bref, un mot de passe de 13 signes (lettres minuscules, majuscules et chiffres, ndr) est très bien, à la condition de ne pas le laisser en accès libre. Les problèmes ont été corrigés comme nous l’a précisé le service communication de l’entreprise « Faisant suite à votre mail et notre conversation téléphonique, je viens d’être informée ce matin par nos service IT qu’ils avaient bien pris en compte vos alertes et entrepris d’effectuer des corrections. Au nom de MasterCard, je vous remercie d’avoir porté ces informations à notre attention.«