Decathlon organise une chasse aux vulnérabilités sur sa boutique en ligne : 27 failles découvertes !
À l'occasion de l'événement de cybersécurité FIC 2022 qui s'est déroulé à Lille du 7 au 9 juin 2022, Decathlon a organisé un Live Bug Bounty ! Pendant 30 heures, des hackers ont pu essayer de découvrir des failles de sécurité sur le site d'e-commerce de Decathlon. Au total, il y a eu 27 vulnérabilités découvertes !
Decathlon est un habitué des programmes de recherche de vulnérabilités puisqu'il existe un programme privé disponible sur la plateforme YesWeHack. La différence cette fois-ci, c'est qu'il y a une véritable communication sur l'organisation de cette chasse aux vulnérabilités : une volonté de la part de Decathlon qui a organisé cet événement en partenariat avec la plateforme YesWeHack. Ainsi, pendant 30 heures, des hackers de la plateforme YesWeHack présent sur place au FIC 2022 ont pu partir à la recherche de vulnérabilité sur le site de Decathlon, en production. Le fait que cet événement soit en direct et médiatisé fait que l'on peut obtenir le résultat de cette chasse aux failles de sécurité.
Résultat, les hackers ont effectué 64 signalements pendant ce Live Bug Bounty, et les équipes de Decathlon ont accepté 27 signalements de vulnérabilités, dont 3 correspondants à des failles critiques. Par exemple, les hackers ont pu découvrir une faille de type "injection SQL" et une autre de type exécution de code à distance, directement sur la boutique en ligne de Decathlon.
Pour être plus précis sur le périmètre, Decathlon a souhaité tester la robustesse de son site d'e-commerce OneShop, basé sur une solution bien connue : PrestaShop. Ce site est utilisé dans plusieurs dizaines de pays à travers le monde. En complément, Decathlon a intégré aux périmètres ses solutions d'authentification et de fidélisation. Il est important de préciser que les participants devaient respecter quelques consignes puisque c'est le site de production qui était directement ciblé, donc il n'était pas question d'engendrer un déni de service, par exemple.
À l'heure qu'il est, certaines vulnérabilités découvertes sont déjà corrigées, avec une priorité donnée aux vulnérabilités critiques bien entendu. Voici les propos de Matthieu Vanoost, RSI chez Decathlon : "Lorsque les chercheurs détectent une vulnérabilité, ils soumettent un rapport. Si cette vulnérabilité est critique, nous fixons un délai pour la corriger". Un moyen de garder les troupes motivées et mobilisées. Vous pouvez retrouver plus d'informations sur ce Live Bug Bounty sur le site de YesWeHack.
Une belle initiative de la part de Decathlon qui joue clairement la carte de la transparence et félicitation à Zax qui est le vainqueur de cette chasse aux vulnérabilités.
