700 000 résultats de tests COVID et les données personnelles de patients dévoilées en ligne

0

Selon Mediapart, « Plus de 700 000 résultats de tests, et les données personnelles des patients, ont été durant des mois accessibles en quelques clics en raison de failles béantes. D’après le média, « L’alerte a été lancée par une patiente qui a voulu récupérer un résultat d’analyse via un lien qui lui avait été fourni. Elle a alors réalisé qu’avec quelques manipulations de l’adresse URL, elle pouvait accéder à une énorme base de données. »

Cette faille s’apparente à une vulnérabilité de type « insecure direct object references », très fréquente sur les plateformes web. Une référence directe d’objet non sécurisée (IDOR) est une vulnérabilité très courante. Pour les entreprises du retail et de e-commerce, les vulnérabilités IDOR représentent 15 % des paiements de primes.

Il s’agit de la vulnérabilité la plus fréquente au sein des plateformes des administrations publiques (18 %), du secteur médical (36 %) et des systèmes dédiés aux services professionnels (31 %). Ces vulnérabilités permettent d’accéder au contenu suivant (post / page web / fichier) sur une plateforme, simplement en ajoutant à une URL un caractère, lettre ou chiffre, de manière séquentielle. Il est facile pour un cybercriminel de détecter et d’exploiter ce genre de faille.

En effet, sans étapes d’authentification ou de limites d’accès, un attaquant peut aisément mettre en place un programme qui télécharge de manière automatisée chaque message, photo, vidéo et données de l’ensemble du site. Les vulnérabilités IDOR figurent parmi celles que les hackers éthiques recherchent en priorité lorsqu’ils sont invités à vérifier la posture de sécurité d’un service ou d’une plateforme.

About Author

Avatar

Senior Solutions Architecte chez HackerOne

Leave A Reply