Réaliser régulièrement des tests d’intrusion de sites e-commerce permet d’assurer un bon niveau de sécurité. Ceci est nécessaire pour assurer le bon fonctionnement du site ainsi que l’image de marque de l’entreprise auprès de ses clients. Mais les enjeux de sécurité sont tellement multiples qu’il est parfois nécessaire d’établir des priorités.
L’infrastructure réseau est au cœur du fonctionnement des entreprises, et ce dans la plupart des secteurs d’activité. On peut la considérer comme le centre névralgique de toute l’organisation informatique, car c’est elle qui permet de centraliser les données, simplifier leur échange et faciliter la communication entre les collaborateurs.
C’est donc un outil indispensable au bon fonctionnement des entreprises, qui nécessite une attention de tous les instants sur le plan de la sécurité. Cela afin de se prémunir contre des attaques externes et internes de plus en plus nombreuses et sophistiquées.
La plupart des applications web manipulent des données personnelles et/ou des données business ; autant dire des données sensibles. Mots de passe, adresses email, numéros de cartes bancaires, données santé et autres, sont au centre de la bataille qui oppose deux camps. D’un côté les entreprises, de petite, moyenne ou grande taille, qui cherchent à se défendre contre des intrusions dans leurs systèmes d’information. Et de l’autre, des assaillants de plus en plus expérimentés, attirés par l’appât du gain et stimulés par les nombreuses brèches trop souvent ignorées par leurs futures victimes.
Vous connaissez cette semi-blague, « le cloud, c’est les ordinateurs de quelqu’un d’autre » ? Le cloud computing est souvent vu comme LA solution, si bien qu’on omet qu’il s’agit uniquement d’un outil, avec ses avantages et ses inconvénients.
Les applications web comme les applications mobiles sont au centre de l’activité de la plupart des entreprises. Qu’elles soient déployées en production ou en cours de développement, il existe encore certaines idées reçues sur la sécurité de ces systèmes, alors qu’il s’agit d’un sujet crucial pour le bon déroulement des activités.
Voici les 9 idées reçues que nous avons le plus souvent rencontrées.
Lors d’un audit de sécurité, trois approches sont possibles. Elles correspondent à différents niveaux d’information et d’accès fournis aux pentesters.
Le choix de l’approche d’un test d’intrusion dépend de vos objectifs : quel niveau de profondeur voulez-vous ? Et souhaitez-vous tester la menace externe ou la menace interne ?
WordPress, Joomla, Drupal, Shopify, Prestashop et bien d’autres encore, offrent de vraies possibilités pour réaliser des sites vitrines ou des e-shops à la fois ergonomiques et performants. Cependant, une image négative reste associée aux sites web reposant sur des CMS : ils seraient peu sécurisés et des cibles faciles pour des hackers malveillants.
Quels sont les risques de cyberattaques pour ces sites ? Quels éléments spécifiques des CMS sont à surveiller ?
Si vous êtes en charge d’une plateforme CMS, cet article vous aidera à identifier les risques principaux et vous donnera les points de vigilance pour renforcer le niveau de sécurité.
Vous savez pourquoi le phishing est si redoutable ?
Parce qu’il mêle des compétences IT et des connaissances de la psychologie humaine. En effet, un mail de phishing s’appuie sur des ressorts psychologiques humains pour tout d’abord inciter à l’ouverture du mail et pour ensuite pousser au clic.
Les compétences techniques sont bien entendu nécessaires pour augmenter les probabilités de clics, par exemple pour usurper un expéditeur légitime, pour créer un clone d’interface, pour renvoyer vers des domaines malveillants, etc.
Mais aujourd’hui, nous nous intéressons aux leviers qui poussent à l’action lors d’un phishing. Nous avons repris huit leviers psychologiques couramment utilisés et nous les avons associés à différents sujets qui peuvent servir de prétextes pour un phishing.
Définir le scope d’un pentest est une étape délicate. Quelle sera la cible du pentest ? Plus précisément, quels aspects fonctionnels et techniques faut-il tester en priorité ? De plus, quel degré de profondeur et quelle fréquence de pentest sont à recommander ?
Pancake est un logiciel de facturation en ligne, de management de projets et de gestion du temps et des devis. Un secret codé en dur, partagé par l’ensemble des installations et utilisé pour signer le cookie de session nous a permis de falsifier un cookie de session valide pour n’importe quel compte pour toutes applications Pancake avant la version 4.13.29.
Une XXE (XML External Entities) est une vulnérabilité faisant partie du Top 10 de l’OWASP et touchant les programmes interprétant le XML.
Elle se caractérise par la possibilité de lire des fichiers sur le serveur cible. Elle peut ainsi mettre en danger celui-ci, en accédant, par exemple, à un fichier de configuration contenant des mots de passe, en copiant les fichiers de la base de données ou en récupérant le code source d’une application.
Le numérique est devenu central pour le secteur de la santé. Cela concerne toutes les activités, des admissions de patients à la gestion des prescriptions jusqu’au contrôle de l’environnement matériel. Dans ce contexte, les risques de cybersécurité se sont également répandus. Effectuer un audit de sécurité permet d’évaluer concrètement les risques pour chaque établissement ou entreprise dans le domaine de la santé.
Voici un panorama des enjeux de cybersécurité que nous rencontrons fréquemment et qui peuvent être des points d’attention lors d’un pentest. Si la protection des données est un enjeu majeur, d’autres risques liés au matériel et à l’infrastructure informatique sont aussi des points de préoccupation récurrents.
Les fintech sont des entreprises généralement plus exposées aux risques et plus matures que la moyenne en matière de cybersécurité. La nature de leurs activités implique la nécessité de prendre en compte les risques de fraude et de cyberattaques dès la conception d’un nouveau produit.
Le pentest vient ensuite confronter les choix de sécurité et les protections mises en place avec la menace réelle. Selon la nature du produit (solution de paiement, plateforme de crédit, gestion bancaire, private equity, etc.), les enjeux métiers seront différents. Voici cependant quelques détails sur les principaux risques et les priorités de pentest les plus fréquentes d’après notre expérience auprès de fintech.