Des milliers de LiveBox Orange ont été piratées grâce à un détournement de DNS et les données bancaires de milliers de clients se sont téléchargées
Fin mai dernier, des milliers de clients Orange ont vu leur connexion internet coupée sans aucune raison apparente. En cause, un mystérieux pirate qui est parvenu à changer le mot de passe de connexion à l’interface de paramétrage qui gère entre autres, le wifi ou encore la télévision. Le fameux intru a réussi à modifier le DNS (Domaine Name Service) et ainsi rediriger les connexions vers un serveur malveillant.
L’objectif était très simple : saisir toutes les données sensibles comme les données bancaires, lors de commandes des internautes pour faire des achats en ligne. Ces attaques sont assez fréquentes mais ne touchent généralement pas autant de gens, elles sont appelées «Man in the Middle» puisque le pirate sert de passerelle entre les connexions des internautes et le serveur malveillant. Un responsable de la sécurité informatique a déclaré au site 01.net : Tous les flux vers des sites marchands, les banques ont été redirigés vers le fraudeur.
Aucun moyen de savoir si l’on est piraté
Les clients piratés n’ont eu absolument aucun moyen de savoir s’ils étaient victimes ou non au moment des méfaits. Un simple problème de certificats lors de leurs achats en ligne leur a permis de se rendre compte, pour certains, qu’il y avait effectivement un problème. C’est par le biais d’un lien attirant que le fraudeur a réussi à piéger ses victimes. Il suffisait que les victimes cliquent sur ce lien pour que le serveur malveillant se mette en marche.
Pour les responsables de la sécurité informatique, c’est un véritable calvaire : je travaille dans une banque et j’en ai ras le bol de traiter des incidents de ce type avant d’ajouter : On se fait taper dessus par nos clients en leur renouvelant leur CB par mesures préventives. Il serait bien que chacun prenne ses responsabilités… Il semble que Orange ait rapidement réglé le problème en mettant à jour ses LiveBox mais trop tard, le mal était fait.