Piratage de ViaPresse, déjà prévenu en 2013...

Le 14/10/2013, je pousse une gueulante auprès de La Fnac et ViaPresse, parce qu'ils envoies les mots de passe en clair à chaque abonnement :

<Ref772106> Votre réclamation est en cours de traitement

Cher Client,

Nous avons pris bonne note de votre demande et allons lui accorder toute l'attention nécessaire.

Nous effectuons les recherches indispensables auprès de l'éditeur pour vous apporter une réponse précise dans les plus brefs délais.

Sincères salutations.


Service abonnement
Tel : 01.72.87.16.76- Code 14
Du Lundi au Vendredi de 9 h à 18h00
http://fnac.viapresse.com/


Le 17/10/2013

Bonjour,


Merci de votre réponse, qui, malheureusement et comme vous devez vous en douter, ne me satisfait pas vraiment.

Pour tous vos clients qui utilise le même mot de passe sur votre service et pour leur messagerie en ligne (nous savons tous deux qu'ils doivent être nombreux), je pense que le couple adresse mail et mot de passe peut être considéré comme une donnée "sensible".


Peut-être pouvez déjà faire effectuer quelques rapides retouches sur le SI actuel comme

-ne plus afficher le mot de passe à l'écran (lors d'une commande, sur l'interface de consultation de votre service client et tout autre endroit ou il pourrait apparaitre)
-ne plus l'afficher dans l'e-mail de confirmation de commande


Quelle que soit votre procédure de modification de code, ça ne devrait pas mobiliser beaucoup de ressources et limiterait déjà l'accès à cette faille de sécurité aux personnes ayant accès à vos bases de données (légitimement ou non)


Cordialement,
xxxxxxxxxxx xxxxxxxxxxx


----- Mail original -----
De: "xxxxx xxxxxxxx"
<xxxxxxx@viapresse.com>
À: Moi
Envoyé: Jeudi 17 Octobre 2013 15:00:41
Objet: Viapresse > Suite à votre mail


Bonjour,


Je fais suite à votre mail sur l'enregistrement des mots de passe sur le site Viapresse.


Tout d'abord en vous annonçant que cela ne va plus durer très longtemps, nous sommes en phase de recette de notre nouvelle plateforme qui intégrera évidemment un système d'encodage des mots de passe via un hash + salt comme vous l'indiquez.


Deuxièmement, en précisant que le système ne contient pas d'informations dites sensibles, comme les RIB ou les coordonnées de cartes bancaires que nous ne conservons pas, vu qu'elles ne transitent pas par nos serveurs (nous utilisons les services de sociétés spécialisés).


Nous sommes, et je suis à titre personnel, loin d'être insensibles à cette problématique, mais le remplacement du système de mot de passe dans la globalité du SI actuel, vétuste, alors qu'il est en pleine refonte, n'est pas aussi simple qu'il y parait.


Je prends en tout cas bonne note de vos exemples que je connais très bien, et de votre avertissement.


Bien cordialement,


xxxxxxxxx xxxxxxxxxxxxx
Directeur des systèmes d'information
xxxxxxxxxxxxx@viapresse.com
Tél : +33 xxx xxx xxx / Mob: +33 xxx xxx xxx


********
Toujours le 17/10/2013

<Ref772106> Mot de passe stocké en clair dans vos base de données !!!!

Monsieur Moi,

Votre demande a bien été transmise au service informatique qui sera mieux placé pour vous répondre quant à votre demande.

Je suis navrée de n'avoir pas pu répondre correctement à votre demande.

Vous devriez recevoir une réponse à votre courriel prochainement

Merci de votre compréhension

Cordialement,


Sonia
Service abonnement
Tel : 01.72.87.16.76- Code 14
Du Lundi au Vendredi de 9 h à 18h00
http://fnac.viapresse.com/


--------------------------------------
Bonjour,


"Je vous informe toutefois que votre mot de passe n'est visible uniquement par notre service clientèle,"

???
C'est une plaisanterie ?
Je n'avais pas vu cette ligne en première lecture, lisez la suite et voyez quel pouvoir vous donnez aux employés de votre service clientèle, et à quels risques vous exposez vos utilisateurs...effarants !


"Votre compte client ne risque pas d'être piraté, car vous seul connaissez le mot de passe et nous gardons le secret professionnel."

C'est faux : la sécurité absolue n'existe pas, si une personne veut s'introduire dans votre système d'information ce n'est qu'une question de temps et de motivation avant qu'elle ne découvre des failles techniques ou humaine (Ingénierie Sociale) lui permettant de parvenir à ses fins.

Des sociétés comme OVH, Adobe ou Sony ne manquent pas de moyens pour assurer la sécurité de leurs données client, mais elles se les ont pourtant faites dérobées.
Ça n'arrive pas qu'aux autres.

Il est donc primordial de crypter les mots de passe de vos clients, qui, pour beaucoup, n'ont pas le réflexe d'utiliser des mots de passe différents pour chaque service en ligne (réseaux sociaux, mail, e-commerce, ...).
Si un utilisateur utilise le même mot de passe pour sa messagerie, quelqu'un qui arriverait à accéder à votre base de données disposerait alors d'une voie royale pour accéder à tout ce qui peut transiter sur une boite e-mail et se connecter à tous les services en lignes de l'utilisateur via la fonction "mot de passe oublié", qui enverra gentiment de nouveaux mots de passe sur la boite e-mail de l'utilisateur (si tant est que l'utilisateur n'utilise pas le même mot de passe pour tous ses services). À partir de là la possibilité de nuisance n'a plus de limites que l'imagination.

N'oublions pas les risques que quelqu'un passant derrière un de vos clients lise son mot de passe lorsque vous l'affichez à l'écran, que ce soit sur votre site web ou dans sa messagerie, et que toute personne pouvant accéder (de façon légitime ou non) aux serveurs de messagerie où sont stockés les e-mails de vos clients a de facto également accès aux mots de passe de vos clients.


Ce n'est donc pas un problème à traiter "début 2014" mais immédiatement (comme je l'ai déjà précisé, les modifications à effectuer sont assez simples et rapides à mettre en place).


Cordialement,
Moi


De: "Kiosque Presse Fnac" <kiosque-fnac@viapresse.com>
À: Moi
Envoyé: Jeudi 17 Octobre 2013 12:57:47
Objet: <Ref772106> Mot de passe stocké en clair dans vos base de données !!!!


Bonjour,

Tout d'abord, nous vous prions de bien vouloir nous excuser pour cette réponse tardive.

Votre message a retenue toute notre attention et soyez rassuré notre systèmre informatique va bientôt changer début 2014.

Je vous informe toutefois que votre mot de passe n'est visible uniquement par notre service clientèle, la confidentialité de vos données ne sont en aucun cas diffusée.

Votre compte client ne risque pas d'être piraté car vous seul connaissez le mot de passe et nous gardons le secret professionnel.

Votre compte client ne comporte pas non plus de données bancaires.

Nous vous prions cependant de bien vouloir nous excuser et nous transférons votre mail auprès de notre directeur du service informatique.

En vous remerciant de la confiance que vous nous avez accordée.

Cordialement,


Sonia
Service abonnement
Tel : 01.72.87.16.76- Code 14
Du Lundi au Vendredi de 9 h à 18h00
http://fnac.viapresse.com/


--------------------------------------

Bonjour,


Nous sommes en 2013, et je constate avec effarement que vous affichez toujours les mots de passe de vos clients à l'écran lorsque l'on a passé une commande et que vous le renvoyez par e-mail.
Vous devez pourtant avoir un minimum de moyen pour assurer la sécurité de vos clients et ne pas ignorer que des bases de données client se font régulièrement piratées, même dans les entreprises les plus à même de les protéger :


Quelques exemples récents :
OVH
http://www.lemonde.fr/technologies/article/2013/07/23/ovh-se-fait-pirater-les-donnees-de-ses-clients-europeens_3452455_651865.html

Pearl.fr
http://www.pcinpact.com/news/72867-un-pirate-monnaye-et-diffuse-partie-base-clients-pearl-fr.htm

Adobe
http://www.01net.com/editorial/604762/adobe-pirate-2-9-millions-de-comptes-clients-compromis/


Vous devez donc absolument, et sans attendre, crypter tous les mots de passe de vos clients et supprimer toute sauvegarde de base de données où nos mots de passe client apparaissent en clair. Sans cela, vous vous exposez à des sanctions de la part de la CNIL (que je vais informer de votre irresponsabilité)

Je vous invite en particulier à lire cette interview :

http://www.pcinpact.com/news/72419-interview-cnil-sur-defauts-securisation-donnees-personnelles.htm

Et sans réaction rapide de votre part (étant informaticien je peux vous assurer qu'il ne faut pas plus d'une demi-journée pour passer d'un système de gestion de mot de passe open-bar à un stockage de mot de passe avec hash+sel qui rend impossible à toute personne de pouvoir retrouver le mot passe en clair) j'informerais également quelques journalistes et blogueurs influents pour qu'un maximum de vos clients sache que vous ne protégez par leurs données.


Cordialement,
Moi