Les cordonniers seraient-ils les plus mal chaussés, aussi sur le web ?

C’est ce que l’on pourrait penser à la lecture – inquiétante – de cette histoire, publiée par un hacker roumain sur HackersBlog : le pirate (ou appelez ça comme vous voulez) affirme avoir eu accès aux bases de données du site de l’éditeur de logiciels de sécurité et d’antivirus usa.kaspersky.com, en utilisant la méthode d’injection SQL qui consiste à manipuler l’url d’un site en y ajoutant des tentatives de requêtes SQL vers la base de données.

Après avoir réussi son injection de code, le dénommé « Unu » a récupéré toutes les données de la base, à savoir les utilisateurs, les codes d’activation, listes de bugs, identifiants des administrateurs, shops, et le prouve en publiant sur le forum la liste des tables trouvées dans la base.

Unu précise qu’il n’a fait aucune exploitation malicieuse des données, dont il masque soigneusement les éléments sensibles sur les captures d’écran qu’il publie sur le site HackersBlog, et qu’il a tenté en vain d’alerter à plusieurs reprises Kaspersky par email durant plusieurs jours après sa découverte. N’obtenant pas de réponse il s’est décidé à publier samedi 7 février son exploit afin de faire réagir l’éditeur, qui reconnaît à demi-mots avoir découvert une tentative d’attaque sur un de ses sites, neutralisée selon lui en 30 minutes chrono.

Si le site de l’éditeur de l’un des logiciels de sécurité réputés les plus efficaces au monde est vulnérable aux attaques, on ne peut plus se fier à personne ma parole.

(source)