C’est inquiétant : le piratage de l’ANTS (France Titres) viendrait d’une faille absurde

Le piratage de l’ANTS (France Titres) continue de faire couler beaucoup d’encre. Alors qu’on découvrait récemment que le hacker serait un adolescent de 15 ans, on apprend désormais qu’il aurait utilisé une méthode si connue et documentée qu’elle n’aurait jamais dû mettre à mal un système informatique du gouvernement français.

Notamment quand il s’agit de l’Agence nationale des titres sécurisés (ANTS) responsable de l’édition des cartes d’identité, des passeports, des permis de conduire et des cartes grises. Ainsi, comme l’explique Numerama, le pirate aurait, selon divers experts en cybersécurité, utilisé ce qu’on appelle une faille IDOR. Et vous allez voir, c’est invraisemblable.

À lire aussi :
Pourquoi le piratage de France Titres (ANTS) aurait pu être évité d’après un spécialiste

Une faille IDOR

IDOR est un acronyme pour « Insecure Direct Object Reference ». En français, vous pourriez traduire cela par « Référence directe non sécurisée à un objet ». Si le nom peut paraître complexe, ce type de vulnérabilité est peut-être l’une des plus simples à comprendre.

Après vous être authentifié sur le site de France Titres avec votre mot de passe, la plateforme associe votre compte à un identifiant (ID) qui se manifeste par une série de chiffres.

Or, cet ID est visible dans l’URL. Sur un système bien protégé, modifier cette série de chiffres dans l’URL vous emmène sur une page d’erreur ou alors il vous est demandé d’entrer à nouveau votre nom d’utilisateur et votre mot de passe. C’est normal, une personne A n’est pas censée accéder au compte d’une personne B de cette manière : une vérification de sécurité doit être faite.

En revanche, sur un site vulnérable, changer l’ID dans l’URL en mettant par exemple « 9833 » au lieu de « 9832 » peut donner accès au compte (et aux données) d’un autre utilisateur sans vérification. Voilà en quoi consiste une faille IDOR.

Une faille qui ne devrait jamais exister dans le système de l’ANTS

Et c’est précisément cette méthode très simple qui serait à l’origine du piratage d’au moins 12 millions de comptes sur le site de l’ANTS et de la mise en vente des données volées sur le dark web. Une aberration d’autant plus ironique que le S d’ANTS signifie « sécurisés ».

Le pirate n’aurait donc pas usé d’une méthode ultra sophistiquée et n’aurait pas découvert une faille indétectable d’un nouveau genre. Il aurait simplement exploité une vulnérabilité IDOR. Pour un système aussi sensible que celui de l’ANTS, ça paraît absurde.

Les bons réflexes en cas de piratage

Si vous avez été victime d’un piratage ou d’une fuite de données, quelques bonnes pratiques sont à garder en tête pour mieux vous protéger. Frandroid en a fait une liste :

• Changer sans attendre les mots de passe des comptes concernés ;
• En profiter pour changer aussi les mots de passe identiques ou similaires sur d’autres services ;
• Utiliser des mots de passe uniques et solides (avec, pourquoi pas, un gestionnaire de mots de passe) ;
• Activer la double authentification (2FA) partout où c’est possible ;
• Activer les Passkeys quand c’est possible ;
• Dans les semaines à venir, se méfier des emails, SMS ou appels suspects, même s’ils semblent crédibles ;
• Ne jamais cliquer sur un lien ou télécharger une pièce jointe en cas de doute ;
• Prévenir ses contacts si le piratage peut les concerner ;
• Mettre à jour ses appareils et logiciels pour corriger d’éventuelles failles de sécurité ;
• En cas de virements frauduleux, faire un signalement sur la plateforme Perceval.