Suite à notre article, le site Infogreffe a souhaité nous apporter plus de précisions, non pas sur une fuite de données mais sur « une facilité de navigation« . Eclairages.
Mardi 20 février, nous reprenions dans nos colonnes l’information fournie par Damien Bancal, journaliste spécialiste des questions liées à la cyber-sécurité, selon laquelle il existait une faille de sécurité sur le site InfoGreffe qui permettait la fuite de données personnelles.
Le site InfoGreffe a souhaité apporter des précisions sur le sujet.
Pas de fuite mais une facilité à récupérer les données
Il ne s’agit pas d’une fuite de données mais d’une facilité de navigation liée au pré-remplissage de mails. C’est un système présent sur beaucoup d’autres sites et qui pouvait être utilisé par un pirate. Il s’agissait d’une fonctionnalité de pré-remplissage qui aurait pu faciliter, rendre plus rapide une action malveillante.
D’un point de vue strictement technique, un client recevait un mail d’InfoGreffe à la suite d’une formalité effectuée en ligne. Ce mail contenait un lien pour se connecter au compte. Damien Bancal explique « le formulaire de login est prérempli avec l’adresse mail du client. Elle est présente dans le code source de la page (var login = …). Ainsi que d’autres informations (code abonné, code client, …). Il suffisait de changer l’ID dans l’URL pour obtenir l’adresse d’un autre client. Comme l’ID est numérique, il aurait suffi à un pirate de l’incrémenter (à la main, via un script, …) pour obtenir des adresses mails d’utilisateurs. Des clients qui auraient pu ainsi finir comme cible dans une attaque ciblée de type phishing.«
InfoGreffe prend la menace très au sérieux
Néanmoins, InfoGreffe assure avoir pris les bonnes mesures au bon moment.
Dès que nous avons été informés, nous avons supprimé cette fonctionnalité. Nous avons aussi mis en place un audit des entrées et avons constaté qu’il n’y avait eu aucune tentative de vol de données. Aujourd’hui, il existe une veille constante sur ces problèmes de cyber-sécurité. Nous menons des actions régulièrement, nous travaillons même avec un partenaire cyber-sécurité. Des mises à jour permanentes sont menées.
En résumé, cette faille révélée a été prise très au sérieux par InfoGreffe qui a immédiatement réagi et réglé le problème.
