Etude de cas phishing : Paypal et Microsoft
Dans cet article, je vais vous présenter deux cas de phishing sur lesquels je suis tombé récemment via Phishtank.
Lire cet article
PayPal
Faille : Piratez un compte PayPal en quelques clics !
Ce n’est pas la première fois de l’année que des problèmes de sécurité sont rencontrés chez PayPal, le service de paiement en ligne qui appartient au géant eBay. Un chercheur en sécurité égyptien, Yasser H. Ali a découvert trois vulnérabilités critiques sur le site PayPal. Ces trois vulnérabilités concernent une faille CSRF, un bypass du jeton d’authentification et une réinitialisation de la question de sécurité. Yasser a diffusé une vidéo Proof-of-Concept qui démontre étape par étape comment réaliser un exploit qui s’appuie sur ces trois vulnérabilités. Dans cette démo, il utilise l’exploit CSRF qui permet à un pirate d’ajouter une seconde adresse e-mail sur le compte de la victime, et aussi de réinitialiser la réponse à la question de sécurité du compte ciblé. Une fois l’exploit réalisé, le pirate n’a plus qu’à réinitialiser le mot de passe du compte et le tour est joué ! https://www.youtube.com/watch?feature=player_embedded&v=KoFFayw58ZQ De son côté, l’équipe de sécurité PayPal a corrigé les failles remontées par Yasser.
Lire cet article
PayPal : Une faille permet d’accéder à un compte bloqué
Le service de paiement PayPal est vulnérable à une faille qui permet d’outrepasser une restriction d’authentification, cela permet de passer le blocage sur un compte lorsque ce dernier est bloqué. Cette faille de sécurité réside dans l’API mobile au sein de la procédure d’authentification sur le service PayPal, qui ne vérifie pas si le compte est bloqué et restreint. Comment ça marche ? Lorsqu’un utilisateur tente de se connecte avec une mauvaise combinaison utilisateur/mot de passe plusieurs fois, par sécurité, PayPal restreint l’accès au compte de cet utilisateur tant que les réponses secrètes de quelques questions de sécurité ne sont pas données. Cependant, si ce même utilisateur, passe sur son smartphone au sein de l’application PayPal et tente d’accéder à son compte, il pourra accéder à son compte sans aucun problème et ce sans avoir à fournir les réponses aux questions de sécurité. Toujours pas de correctif apporté ! Reportée il y a un an par Benjamin Kunz Mejri de
Lire cet article