La plateforme SOS Villages de TF1 Info fait l’objet d’une revendication de fuite de données publiée par le groupe LunarisSec. Les attaquants affirment avoir récupéré environ 260 000 enregistrements liés aux annonces présentes sur le service.
Si une partie des informations concernées pouvait être obtenue en automatisant la collecte des contenus visibles publiquement, l’extraction va plus loin. Une faille de type IDOR permettait notamment d’accéder à des adresses e-mail et numéros de téléphone que certains utilisateurs avaient choisi de ne pas afficher publiquement.
Edit : Ce dimanche soir, le site n’est plus accessible.
SOS Villages, la plateforme de TF1 dédiée aux territoires
SOS Villages est un service proposé par TF1 Info permettant notamment de mettre en avant des commerces et activités à reprendre dans les territoires. La plateforme met en relation des propriétaires souhaitant céder une activité avec de potentiels repreneurs.
Les annonces peuvent contenir une localisation, une description de l’activité, un prix, le secteur concerné ainsi que différentes informations permettant de contacter leur auteur. Selon les préférences choisies lors de la publication, certaines coordonnées peuvent toutefois rester masquées aux visiteurs du site.
260 000 enregistrements revendiqués par WAKUPQ
LunarisSec affirme avoir extrait environ 260 000 enregistrements depuis SOS Villages. Les données revendiquées comprennent notamment le titre et l’URL de l’annonce, la localisation, le code postal, le département, la région, le secteur d’activité, le prix, la description ainsi que différentes informations relatives au contact.
Le chiffre de 260 000 correspond toutefois à un volume d’enregistrements et ne signifie pas nécessairement que 260 000 personnes distinctes sont concernées. Une même personne peut notamment avoir publié plusieurs annonces ou apparaître dans plusieurs entrées.
Des coordonnées masquées apparaissent dans les données
Cyberattaque.org s’est procuré des échantillons des données associées à cette revendication. Ils contiennent notamment des informations relatives aux annonces et à leurs auteurs.
- titres et URL des annonces ;
- descriptions des activités proposées à la reprise ;
- communes, codes postaux, départements et régions ;
- secteurs d’activité et informations économiques liées aux annonces ;
- noms des contacts ;
- adresses e-mail ;
- numéros de téléphone ;
- indicateurs précisant si l’e-mail ou le téléphone doivent être affichés publiquement.
Ce dernier élément permet de distinguer les coordonnées rendues volontairement publiques de celles que leurs propriétaires avaient choisi de masquer sur le site.
Une partie des données pouvait être récupérée par scraping
Une partie importante des informations contenues dans les annonces est naturellement accessible depuis les pages publiques de SOS Villages. Le titre d’une annonce, sa commune, son secteur d’activité, son prix ou encore sa description peuvent ainsi être collectés automatiquement à grande échelle à l’aide d’un outil de scraping.
Pris isolément, ces éléments ne permettraient donc pas nécessairement de conclure à une compromission de la plateforme.
Mais les données examinées comportent également des coordonnées qui n’étaient pas affichées aux visiteurs. Des adresses e-mail et des numéros de téléphone apparaissent ainsi dans les enregistrements alors même que les indicateurs associés précisent qu’ils ne devaient pas être rendus publics.
Une faille IDOR permettait d’accéder aux coordonnées masquées
L’extraction repose sur une faille de type IDOR, pour Insecure Direct Object Reference. Cette vulnérabilité apparaît lorsqu’une application donne accès à une ressource à partir d’un identifiant sans vérifier correctement que la personne effectuant la requête est autorisée à consulter les données correspondantes.
Concrètement, en manipulant ou en faisant varier une référence utilisée par la plateforme, il était possible d’obtenir les informations associées à différents enregistrements sans que le contrôle d’accès empêche la récupération de données qui auraient dû rester masquées.
Dans le cas de SOS Villages, cette vulnérabilité permettait ainsi d’accéder aux informations situées derrière les annonces publiques, dont des e-mails et téléphones volontairement cachés par les utilisateurs.
La fuite ne peut donc pas être résumée à une simple aspiration des pages visibles de SOS Villages : une partie des données a bien été obtenue grâce à l’exploitation d’une faille de contrôle d’accès.
Des coordonnées de commerçants et porteurs de projets exposées
Les informations concernées peuvent notamment associer un nom, une adresse e-mail ou un numéro de téléphone à un projet précis de vente ou de reprise d’activité. La fuite ne se limite donc pas à la divulgation de coordonnées : elle permet également de connaître le contexte professionnel dans lequel elles ont été communiquées.
Un attaquant pourrait par exemple identifier qu’une personne cherche à céder un commerce, connaître le type d’activité concerné, sa localisation ou encore certaines caractéristiques de l’annonce avant de la contacter directement.
Ces informations peuvent faciliter des campagnes de phishing ciblé, de démarchage abusif ou d’usurpation, notamment en se faisant passer pour un repreneur potentiel, un intermédiaire, un professionnel de l’accompagnement à la cession ou un représentant de la plateforme.
Une fuite qui dépasse largement la simple collecte de données publiques
LunarisSec revendique donc environ 260 000 enregistrements liés à SOS Villages. Une partie de ces données était effectivement visible publiquement et pouvait être collectée automatiquement.
Mais la présence d’adresses e-mail et de numéros de téléphone d’utilisateurs ayant expressément choisi de masquer ces coordonnées change la nature de l’incident. Leur récupération a été rendue possible par une faille IDOR permettant de contourner les restrictions d’affichage prévues par la plateforme.
À ce stade, les éléments disponibles concernent spécifiquement le service SOS Villages et ne permettent pas de conclure à une compromission plus large du système d’information de TF1.