Un pirate éthique belge, De Ceukelaire, a découvert une faille logique qui peut être exploitée par des attaquants informatiques depuis des années. De ce fait, des centaines d’entreprises sont vues comme des cibles potentielles d’un hack de taille, puisque les hackers sont en mesure d’accéder à leur centre d’assistance ou helpdesks.
Une faille très délicate
Cette brèche a été identifiée par le pirate éthique belge Inti de Ceukelaire. Selon son explication, la faille n’est pas due à un défaut de conception d’un programme informatique, mais d’une faute logique dans la procédure de support. Le problème se traduit, entre autres, par des anomalies dans le Ttchat professionnel Slack.
Cet expert a souligné que le code de l’application ne présente aucun dysfonctionnement, mais les hackers peuvent exploiter une faille dans la procédure de support. C’est ainsi qu’un pirate a réussi à infiltrer les canaux Slack. Cette plateforme de communication collaborative a alors revu et renouvelé sa procédure de vérification. Cependant, les autres logiciels du même type comme Yammer peuvent encore être attaqués.
En outre, le danger est plus grand, du fait que bon nombre de services web ne vérifient pas si l’adresse-mail employée par un utilisateur pour s’enregistrer appartient réellement à cette personne. C’est de cette manière que De Ceukelaire a pu, lui aussi, infiltrer le canal Slack de Viméo en s’inscrivant via un support de Slack.
Encore plus inquiétant…
Cet expert en cybersécurité a contacté nombre d’entreprises ayant révisé leurs procédures de vérification. Quoi qu’il en soit, il tient à souligner qu’il reste des centaines de logiciels d’assistance et d’outils collaboratifs qui présentent ce risque d’attaque.
Le plus alarmant est qu’il demeure possible de créer un compte auprès de plusieurs services, sans vérifications de l’adresse e-mail. La brèche a été repérée seulement il y a quelques mois par Ceukelaire.
Une fois que la faille est découverte, il a informé une centaine d’entreprises concernées par ce grand risque de piratage, en commençant par celles qui travaillent déjà avec des hackers éthiques. Toutefois, il serait difficile, voire impossible de contacter toutes les organisations présentant cette brèche.
Beaucoup d’efforts restent à faire
Comme bon nombre d’entreprises concernées ne sont pas encore averties directement de la réalité de cette faille, l’expert compte en parler ouvertement. Dans ce sens, il espère que ces sociétés pourront contrôler elles-mêmes la présence ou non de cette brèche interne.
Néanmoins, De Ceukelaire remarque la différence entre les réactions de ces entreprises. Certaines d’entre elles lui ont été immédiatement reconnaissantes, d’autres, comme Yammer n’ont émis aucun commentaire. Ainsi, des dirigeants négligent ou ignorent encore le véritable danger entrainé par ce type de problème informatique, non seulement dans leur organisation interne, mais aussi au niveau de leurs utilisateurs.
Cet expert insiste cependant sur le fait qu’il ne s’agit pas d’un bug au niveau de ces outils collaboratifs, mais d’un problème interne des sociétés qui les utilisent. Et c’est en modifiant leur procédure que les risques d’infiltration chez les utilisateurs se réduisent.
Il a également rappelé que la sécurité d’une entreprise devient plus vulnérable à une attaque une fois qu’une intrusion s’est produite. Ceukelaire a même révélé qu’il a pu accéder à de nombreux comptes Facebook et Twitter d’entreprises d’envergure mondiale. Tout ceci doit inciter les entreprises à prendre très au sérieux la vérification de leur procédure.
