X

Piratage Netissime : « Comment j’ai récupéré 60 000 adresses »

7 000 euros : c’est l’argent qu’a touché ce jeune homme pour accéder au fichier client de l’hébergeur lyonnais Netissime. 

Hier, nous publiions un article intitulé « Netissime attaqué ? Non, victime d’une faille du help desk ». Nous relations alors l’affaire suivante : quelqu’un avait réussi à utiliser le système de ticket d’incident pour envoyer un mailing massif aux clients, diffusant un faux message. Selon Netissime, une fonction de l’outil de help desk (Kayako) était activée par défaut, permettant de contacter la base client sans toutefois se l’approprier. 

Ce n’était pas tout à fait vrai. Ce matin, nous avons pu nous entretenir avec l’auteur de ce qui peut désormais s’appeler un piratage, ou tout du moins une introduction volontaire. Il a une vingtaine d’années : appelons-le Nathan. « J’ai été contacté grâce au bouche à oreille », nous explique-t-il. Ce n’est pas sa première fois. Il a déjà sévi dans d’autres affaires, pour le compte de « grosses entreprises. Par exemple, le concurrent n°1 de la célèbre entreprise qui vend des coffrets cadeaux. Eux aussi voulaient récupérer la base de fichiers clients ». 

Mot de passe : nutella

Nathan a donc été contacté par un concurrent de Netissime, qui souhaitait lui aussi récupérer un gros volume d’adresses mail. « J’ai essayé plusieurs hébergeurs. C’est assez difficile pour les plus gros d’entre eux, de pénétrer dans le système. Netissime m’est apparu comme la cible parfaite ». Comme souvent dans ce genre d’affaires, c’est à une défaillance humaine qu’il doit son intrusion. « Ce n’est pas un piratage à proprement parler. Je n’ai écrit aucune ligne de code », explique-t-il. Nathan s’est débrouillé pour récupérer des noms d’employés. Comme cette fameuse Marion, commerciale. « J’ai simplement lancé un script : ça m’a pris moins de 12 heures pour trouver son mot de passe. Ni accent, ni caractères spéciaux, ni majuscules. Son mot de passe : nutella ». 

D’autant plus que Nathan précise : « Si vous êtes inscrit chez Netissime, vous l’êtes automatiquement au niveau du suivi de tickets. C’est prendre deux fois plus de risques pour l’hébergeur, sachant qu’en plus, les mots de passe sont stockés en clair ». Il ne restait plus qu’à Nathan à remettre à la personne, ou l’entreprise qui l’a mandaté pour ce « travail », « l’identifiant et le mot de passe pour accéder en tant qu’administrateur ». C’est donc ainsi qu’une base client comprenant 60 000 adresses mail a été récupérée. Parmi elles, seules 10 à 20 000 seraient exploitables (si l’on se réfère aux adresses mails, aux données de connexions, etc.). Nous publions ci-dessous une petite partie du fichier Netissime que nous a transmis Nathan pour prouver ce qu’il avance : 

Reste quelque chose que l’on ne s’explique pas : la fameuse entreprise a ensuite utilisé la fonction d’envoi massif de mail pour envoyer le message que nous publiions hier dans notre précédent article. Mais pourquoi avoir redirigé vers mac-heberg.com ? « Personnellement je n’ai aucun contact avec ces gens-là, je ne les connais pas. Selon moi, mon client a fait ça pour brouiller les pistes… », estime Nathan. 

De l’importance capitale des mots de passe

Suite à ce #Netissimegate, l’hébergeur a renforcé sa sécurité, et visiblement changé quelques-uns de ses mots de passe. C’est surtout cela que révèle cette histoire : vos mots de passe doivent obligatoirement être très sécurisés, peu importe le service que vous utilisez. Un même mot de passe utilisé pour plusieurs services (votre banque, vos mails, Facebook ou autre) peut permettre d’accéder à toute votre vie numérique. Nous invitons bien entendu les clients de Netissime à RAPIDEMENT changer leurs mots de passe. 

Le second constat est un brin plus alarmant : Nathan n’est pas un cas isolé. Et même plus : les entreprises qui ont recours à ces pratiques sont de plus en plus nombreuses. Nathan nous le confirme : « J’ai de plus en plus de demandes », confie-t-il. Pour lui, le compte est rapidement fait : il a touché 7 000 euros pour avoir « ouvert la porte » de Netissime. De plus, les entreprises qui font ce genre de choses sont très prudentes. Nathan a été payé en liquide, dans une enveloppe venant d’Espagne apportée par un transporteur privé. Avant de mettre fin à cette histoire, rappelons deux choses. La première : Netissime a déposé une plainte contre X et une enquête est en cours. La seconde, un rappel à la loi

« Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de deux ans d'emprisonnement et de 30 000 euros d'amende.

Lorsqu'il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de trois ans d'emprisonnement et de 45 000 euros d'amende.

Lorsque les infractions prévues aux deux premiers alinéas ont été commises à l'encontre d'un système de traitement automatisé de données à caractère personnel mis en œuvre par l'Etat, la peine est portée à cinq ans d'emprisonnement et à 75 000 euros d'amende ».

Que dit Netissime ? 

Nous avons bien entendu contacté Netissime pour avoir sa version des faits. Pour lui, une personne a effectivement récupéré les contacts (et non les clients) issus de l'outil de help desk Kayako. Mais l'hébergeur nie s'être fait pirater sa base de données. Une version qui est donc opposée à celle de Nathan. 

Nous espérons la réaction de Dave Elbaze, PDG du groupe ELB.


Inscription gratuite à la newsletter de L'Informaticien.


Noter cet article (de 1 = Nul à 5 = Excellent) Valider

A VOTRE AVIS...
Offres d'emploi informatique avec  Emploi en France
jooble

Emploi IT

Emploi IT

Avec l’évolution des technologies, portées par le Cloud, les conteneurs, les data sciences et le développement cross-platform, les métiers sont eux aussi amenés à changer. Malt, plate-forme de mise...

Gestion de l'information

Gestion de l'information

La gestion de l’information s’est imposée depuis dix ans comme un pan important de la transformation numérique des entreprises. Comment satisfaire un client si vous ne le connaissez pas finement par des informations...

French Tech FT120

French Tech FT120

83 entreprises sont sélectionnées pour le French Tech 120, où elles siègent aux côtés du Next 40. L’e-santé et le retail y sont surreprésentés, quand la...

AMP

AMP

Lancé par Google, AMP vient récemment de changer de gouvernance. C’est désormais un projet en incubation sous la responsabilité de la fondation OpenJS, elle-même née de la fusion des fondations...

WebAssembly

WebAssembly

Va-t-il réussir là où le Java a échoué ? WebAssembly ne semblait être qu’une solution pour faire tourner du C/C++ dans le navigateur web, une technologie qui séduit et qui pourrait bien avoir...

RSS
Afficher tous les dossiers

COMMUNICATIONS UNIFIÉES : une convergence accrue entre communication et collaboration - Réussir StopCovid ! - Énergie : les datacenters sur le grill - Le lourd poids de la dette technique - GitLab comme solution DevSecOps - Les femmes, avenir de la filière IT ? - Apps de messagerie, attention danger ? - Pôle IA Toulouse...

 

BASES DE DONNÉES : le DBaaS va tout balayer - Gestion de l'information : structurer le non structuré ! - Municipales : la politique se numérise, le numérique se politise - Cybersécurité : les planètes Cyber alignées ! - DevOps : WebAssembly, langage assembleur du Web - AMP confié à OpenJS - Pénurie des formations IA - À la recherche de nouvelles compétences IT...

 

20 TECHNOS pour 2020 et au-delà... : multicloud, rpa, edge&fog, apis, quantique... - La transfo numérique exemplaire d'une PME industrielle - BYOK : chiffrer le Cloud - L'Open Source teinté d'Orange - Mettre de l'intelligence dans l'APM - Le disque dur fait de la résistance - CI/CD as a Service - Digital Campus, n°1 des écoles du numérique...

 

Afficher tous les derniers numéros

Malgré des investissements massifs dans le développement à hauteur de près de 4 milliards de dollars l'année dernière, près de la moitié du temps consacré au DevOps est perdu dans la répétition des tâches et dans la logistique. Ceci fait que 90% des entreprises qui ont adopté ces pratiques sont déçues par les résultats, selon une étude publiée par le Gartner.


Découvrez dans ce livre blanc, les avantages des toutes nouvelles solutions NETGEAR, pour simplifier et rentabiliser vos déploiements, et gérer votre réseau à distance, où que vous soyez, au bureau ou en télé-travail.


OneTrust est une plateforme logicielle innovante de gestion de la confidentialité, de la sécurité des données personnelles et des risques fournisseurs. Plus de 4 000 entreprises ont choisi de faire confiance à cette solution pour se conformer au RGPD, au CCPA, aux normes ISO 27001 et à différentes législations internationales de confidentialité et de sécurité des données personnelles.

OneTrust vous propose de télécharger le texte officiel du Règlement Général sur la Protection des Données (RGPD). Vous aurez également la possibilité de recevoir la version imprimée de ce texte, sous forme de guide pratique au format A5, spiralé, en complétant le formulaire.


Le présent guide d'achat vous aidera à améliorer l'efficacité de votre cloud hybride, en mettant l'accent sur les stratégies de gestion des données dédiées aux applications correspondantes.


Les entreprises et les organismes publics se focalisent aujourd’hui sur la transformation numérique. En conséquence, les DevOps et l’agilité sont au premier plan des discussions autour des stratégies informatiques. Pour offrir ces deux avantages, les entreprises travaillent de plus en plus avec les fournisseurs de services de cloud public et développent désormais des clouds sur site à partir d’une infrastructure qui répond à trois exigences de base:
1. Agilité sans friction des ressources physiques
2. Systèmes de contrôle optimisant l'utilisation des ressources physiques et offrant un retour sur investissement maximal
3. Intégration des divers composants de l'infrastructure pour un provisionnement et une gestion des ressources automatisés.


Tous les Livres Blancs
Derniers commentaires
Donald Trump apparaît en premier résultat des comptes suggérés en tapant en anglais le mot "raciste" dans la recherche Twitter. Le fruit d'un algorithme qui ne devrait pas arranger les relations déjà tendues entre le président américain et la plateforme.  [Lire la dépêche...]

Snapchat modère à son tour les messages de Trump incitant à la Snapchat, réseau social très prisé des jeunes de la génération Z, a rejoint Twitter mercredi pour atténuer l'écho des messages de Donald Trump, qui "incitent à la violence raciale" dans un pays où des centaines de milliers de personnes défilent depuis 10 jours contre les violences faites à la minorité noire. [Lire la dépêche...]

L'application de traçage de contacts pour smartphones StopCovid était en tête des téléchargements mercredi matin sur les magasins d'applications de Google et d'Apple, selon la société spécialisée AppAnnie. [Lire la dépêche...]

Le véhicule autonome RideFlux à l'aéroport de l'île touristique de Jeju, le 28 mai 2020 en Corée du SudDans un atelier qui fait office à la fois de siège social et de garage, une vingtaine de Sud-Coréens ont un objectif: développer une voiture autonome capable de concurrencer les géants du secteur commme Uber, Tesla et Alphabet, maison mère de Google. [Lire la dépêche...]

Une jeune femme consulte son smartphone dans un parc de Milan, le 4 mai 2020 en ItalieL'application de traçage des contacts choisie par l'Italie dans sa lutte pour endiguer la propagation du Covid-19 a été téléchargée par 500.000 personnes en 24 heures, ce qui la place en tête des téléchargements nationaux, écrit mercredi le Corriere della Sera. [Lire la dépêche...]

Le logo 5G sur la vitrine d'une boutique Huawei, le 25 mai 2020 à PékinLe géant des services télécoms Bell Canada a annoncé mardi avoir choisi de s'équiper auprès du groupe suédois Ericsson pour le déploiement de son réseau mobile 5G, tout comme son plus petit rival Telus qui a en outre retenu le finlandais Nokia. [Lire la dépêche...]

Grindr va retirer le filtre de l'ethnicité dans la prochaine version de son application de rencontres homosexuelles, par solidarité pour le mouvement Black Lives MatterGrindr va retirer le filtre de l'ethnicité dans la prochaine version de son application de rencontres homosexuelles, par solidarité pour le mouvement Black Lives Matter. [Lire la dépêche...]

Zoom a confirmé les attentes mardi avec des résultats financiers dignes de l'engouement suscité par le logiciel de visioconférence pendant le Zoom a confirmé les attentes mardi avec des résultats financiers dignes de l'engouement suscité par le logiciel de visioconférence pendant le "Grand confinement". [Lire la dépêche...]

Toutes les dépêches AFP
AgendaIT

BIG DATA

Conférences et exposition sur le Big Data les 14 et 15 septembre 2020 à Paris, Porte de Versailles. Organisé par Corp Agency.

AI PARIS

Conférence, exposition et rendez-vous d'affaires sur l'intelligence artificielle à Paris, Porte de Versailles les 14 et 15 septembre 2020. Organisé par Corp Agency.

DOCUMATION

Congrès et exposition Documation du 22 au 24 septembre 2020  à Paris Porte de Versailles (Pavillon 4.3). Organisé par Infopromotions.

RSS
Voir tout l'AgendaIT
0123movie