Previous Story
Données privées : Bouygues Telecom corrige une fuite d’informations
Données privées et automatisation. Plusieurs centaines de milliers de contrats de service clients étaient accessibles en deux clics de souris. L’équipe sécurité de l’opérateur a rapidement colmaté le problème à la suite d’un Protocole ZATAZ.
Les joies de l’automatisation n’ont pas fini de faire trembler les données privées. Informations d’internautes pouvant être sensibles. Le Protocole ZATAZ a été alerté par Benoit, un lecteur, d’une fuite de données concernant le portail de l’opérateur Bouygues Télécom. Quand un client souhaitait imprimer un document administratif concernant son contrat, le portail Bouygues générait un lien et un PDF du dit contrat. L’internaute n’avait plus qu’à imprimer son fichier. Dans le document en question : nom, prénom, adresse mail, adresse postale, date de naissance, caractéristique de la ligne téléphonique, numéro de téléphone, relevé d’identité (D’anciens RIO car il s’agissait de demandes d’abonnement), détail du service …
Bonjour et merci pour votre alerte. Nous allons vous contacter par mail à ce sujet.
— Bouygues Telecom (@bouyguestelecom) March 5, 2018
Clic et fuite !
A ce propos, ce protocole d’alerte ZATAZ concernait plusieurs centaines de milliers de Contrat de Service administratif accessible d’un simple clic de souris. Chaque url proposant le PDF affichait le numéro du document généré. Si 12345 fournissait le PDF du contrat d’un client A, 123 proposait l’internaute B, 12347, un Français C, etc.
Ainsi, un pirate aurait très bien pu automatiser la collecter. Avec un script en python modifiant l’IP et l’ID à chaque connexion, par exemple. Après un appel téléphonique des responsables, la fuite n’était plus que de l’histoire ancienne.
A cet effet, aucunes données bancaires concernées. A ma connaissance, aucun pirate dans les lieux avant l’alerte ZATAZ. Bouygues Télécom m’indique avoir lancé son SOC sur ce sujet pour en être certain à 100%.
Pour conclure, à partir du 25 mai 2018, et la mise en action du nouveau Règlement sur les Données Privées (RGPD), les entreprises « fuiteuses » auront obligation d’alerter la CNIL et les clients concernés. Entreprises qui risqueront une amende de 2 à 4% de leur chiffre d’affaire.
Enfin, si vous souhaitez savoir si votre mail et/ou vos données fournies sur le web sont dans les mains de pirates informatiques, ZATAZ vous propose un service de veille. A la moindre découverte, une alerte dans la seconde.
Bonjour
C’est quoi cette histoire de « modifier l’IP » ?
D’abord quel rapport avec le fait de pouvoir récupérer, sans authentification ou droit, un document sensible connaissant son URL ?
Ensuite, c’est pas si simple de spoofer une IP, normalement ça passe pas le FAI.
Enfin comment on récupère des données si on spoofe une IP source ?
Bonjour,
Par « modifier l’ip » comprenez que chaque connexion proposera une nouvelle identifications : Proxies, …
Un pirate peut se servir de cette « idée » pour ensuite orchestrer une connexion, par document. Ainsi, dans les logs, la masse peut cacher le voleur et son acte malveillant.
Pingback: ZATAZ Rétrospective 2018 : le web, plus troué qu'un gruyère ? - ZATAZ