L’assureur Malakoff Mederik corrige une fuite de données clients

L’assureur Malakoff Mederik corrige une fuite d’adresses mails concernant ses clients.

Au mois d’octobre 2018, un internaute alerte le Protocole d’Alerte ZATAZ après avoir découvert une information personnelle et sensible le concernant. Son adresse mail se retrouvait accessible via le site web de l’assureur Malakoff Mederik.

Lors de son inscription, le client a reçu un courriel de son assureur. Dans la missive électronique, un lien vers l’espace ToutM. En cliquant sur le lien, le client était redirigé directement sur la page Extranet « Espace Client » de l’entreprise.

Détail de taille, le mail du client était pré-affiché dans la partie identification. Il n’était pas possible d’accéder au compte client via ce lien. Seul le mail s’affichait.

Les mails des clients accessibles

Seulement, le problème était plus grave que le simple affichage de l’adresse électronique. La source de ZATAZ n’avait pas remarqué que les mails des autres clients étaient, eux aussi, accessibles.

En modifiant le chiffre inclus dans l’url proposé par le courriel de l’assureur, il était possible d’afficher les adresses des autres assurés.

Le 14 octobre, ZATAZ alerte le DPO de Malakoff. Une alerte par l’entremise d’une employé de la société qui avait proposé, quelques semaines auparavant, un atelier cybersécurité pour les retraités de l’assureur.

Le 15 octobre, le Pôle Informatique et Libertés Assurance répond à ZATAZ : « Nous vous remercions de nous avoir remonté cette possibilité de fuite de données qui fait suite à la faille de sécurité sur le site internet ToutM, que vous avez identifiée. La sécurité de notre système d’informations étant au cœur de nos priorités, des investigations et des corrections ont été effectuées afin de la corriger. ».

Le Service Veille ZATAZ qui permet de mettre sous surveillance des informations de votre choix (mail, téléphone, …) n’a trouvé aucune trace dans le black market.

Black lister ?!

Que peut faire un pirate d’une telle faille/collecte ? D’abord, rappelons que seul l’assuré et l’assurance connaissent l’adresse mail utilisée. Un tiers malveillant, entre les deux parties, peut orchestrer un hameçonnage (phishing) très efficace aux couleurs de Malakoff. Le pirate aurait pu, aussi, constituer une base de données de prospects « assurance ».

Pire encore, un pirate aurait pu retrouver les mots de passe des clients dans le black market. J’ai pu faire la démonstration à Malakoff. En prenant un client au hasard (en modifiant le chiffre proposé dans l’url), il m’a été possible, via le Service Veille ZATAZ, de retrouver des identifiants de connexion (login et mot de passe) du client en question.

Un mot de passe unique ? Un « password » passe-partout exploité sur les sites web ? Ce dernier détail restera un mystère. La loi m’interdit de vérifier et d’utiliser l’information trouvée pour en prouver l’impact malveillant possible.

Pour conclure, à ma connaissance, aucune autre donnée n’était accessible via cette faille de sécurité.