Portail client d'une grande banque française

Etude de cas : Test d'intrusion bancaire

Dans le cadre de la sécurisation du portail bancaire d'une grande banque européene, notre cabient a réalisée un test d'intrusion applicatif en profondeur de l'application de consultation de comptes bancaires. À partir d'un accès anonyme puis d'un compte client réel ouvert auprès de la banque, notre audit a pu mettre en évidence plusieurs vulnérabilités critiques :

Vols d'informations confidentielles
• Accès malicieux aux relevés de compte de tous les clients de la banque.
• Lecture de l'ensemble des RIB des comptes bancaires.

Virements frauduleux et contournement des contrôles
• Virement négatif (inversion crédit/débit) vers un autre compte client.
• Lien malicieux CSRF permettant de forcer silencieusement un client victime à transferer vers un compte externe.

Vol de session de plusieurs utilisateurs connectés
• Envoie de mails de type phising à partir du site bancaire.
• Vol des logins/mot de passe des clients.

Cette campagne de tests d'intrusion a permis de détecter et de corriger des vulnérabilités critiques du portail, mais également de sensibiliser la direction information et les développeurs aux risques d'attaques informatiques.