TailleurAuto, spécialiste français des housses et tapis automobiles sur mesure, informe actuellement certains de ses clients d’un incident de sécurité ayant touché son site tailleurauto.com.
Dans un email dont Cyberattaque.org s’est procuré une copie, l’entreprise explique qu’un code malveillant a été introduit à son insu sur la page de commande du site. Selon les investigations menées, ce code a pu intercepter certaines informations saisies par les clients au moment de leur achat.
Les données concernées comprennent le nom, l’adresse postale, l’adresse email et le numéro de téléphone. TailleurAuto précise en revanche qu’aucune donnée bancaire ni aucun identifiant de connexion n’a été compromis.
Un code malveillant directement injecté dans la page de commande
L’incident décrit par TailleurAuto est différent d’une intrusion classique dans une base de données. L’entreprise indique qu’un code malveillant avait été ajouté à la page utilisée par les clients pour passer commande.
Ce type d’attaque permet potentiellement de récupérer les informations saisies directement dans un formulaire avant même qu’elles ne soient enregistrées normalement par le site.
TailleurAuto affirme avoir détecté puis supprimé immédiatement le code. L’entreprise indique également avoir corrigé la faille ayant permis son introduction.
Noms, adresses, emails et téléphones ont pu être captés
Selon le message adressé aux personnes concernées, les analyses montrent que le code a pu récupérer les informations renseignées sur la page de commande.
TailleurAuto confirme quatre catégories de données :
- nom ;
- adresse postale ;
- adresse email ;
- numéro de téléphone.
L’entreprise ne communique pas dans cet email le nombre de clients concernés ni la période exacte pendant laquelle le code malveillant est resté présent sur la page.
Les cartes bancaires n’étaient pas saisies sur la page compromise
Le point le plus important concerne les paiements. TailleurAuto indique qu’aucune donnée bancaire n’a été compromise.
Les paiements effectués sur le site passent par Lyra ou PayPal. Les champs permettant de saisir les informations de carte bancaire sont hébergés directement par ces prestataires et sont techniquement isolés de la page de commande de TailleurAuto.
Selon l’entreprise, les numéros de carte, dates d’expiration et cryptogrammes n’ont donc pas pu être interceptés par le code malveillant identifié sur son site.
TailleurAuto précise également que les identifiants de connexion des clients n’ont pas été touchés.
Un scénario proche des attaques de type web skimmer
Le mécanisme décrit rappelle les attaques dites de web skimming, dans lesquelles du code JavaScript malveillant est injecté sur une page commerciale afin d’intercepter les informations renseignées par les visiteurs.
Dans le cas de TailleurAuto, les données bancaires semblent avoir échappé à l’attaque précisément parce que leur saisie est déléguée à des environnements sécurisés exploités par les prestataires de paiement.
Le code malveillant aurait en revanche pu accéder aux informations directement saisies sur la page de commande elle-même, notamment les coordonnées nécessaires à la livraison.
Des données suffisantes pour construire des arnaques crédibles
TailleurAuto met principalement en garde contre les emails, SMS et appels frauduleux.
Un attaquant disposant du nom, de l’adresse et des coordonnées d’un véritable client peut facilement se faire passer pour TailleurAuto, un transporteur ou même une banque afin de réclamer un paiement, un code de confirmation ou d’autres informations sensibles.
Le contexte d’une véritable commande automobile rendrait ce type de message particulièrement crédible, notamment avec de faux frais de livraison, une prétendue confirmation de commande ou un colis annoncé comme bloqué.
La faille corrigée et la CNIL informée
TailleurAuto indique avoir pris plusieurs mesures après la découverte de l’incident.
L’entreprise affirme avoir supprimé le code malveillant et corrigé la faille utilisée, réalisé un audit complet de sécurité du site et renforcé la surveillance de ses pages de commande et de paiement.
L’incident a également fait l’objet d’une déclaration auprès de la CNIL.
L’origine de l’injection reste inconnue
L’email consulté par Cyberattaque.org ne précise pas comment le code malveillant a pu être ajouté au site. Impossible donc de déterminer s’il s’agit de l’exploitation d’une vulnérabilité, d’un compte administrateur compromis, d’une extension vulnérable ou d’un autre point d’entrée.
TailleurAuto ne communique pas non plus la durée exacte de l’exposition ni le nombre total de commandes susceptibles d’avoir été interceptées.
L’incident est en revanche officiellement confirmé par l’entreprise : des données saisies sur sa page de commande ont pu être captées par un code malveillant, tandis que les informations bancaires et les identifiants de connexion sont présentés comme étant restés hors de portée.