La néobanque N26 renforce la sécurité sur son site suite à un piratage

Piratage site bancaire

Pour Number 26, un bug a été détecté par un expert en sécurité. Ce piratage a permis à la plateforme de renforcer ses mesures de sécurité.

Durant le Chaos Communication Congress à Hambourg, un expert en sécurité ayant participé à l’atelier « Tais-toi et prend l’argent » s’est lancé dans le piratage de la banque en ligne Number 26.

Cette plateforme promet une inscription éclaire en 8 minutes, alors qu’il a suffit 5 minutes à l’application mobile de Vincent Haupert pour pirater un compte. Grâce à cette intervention, les failles de la banque ont été découvertes et rapidement bouchées.

Notre sélection des promos
La sélection meilleurtaux
Monabanq
240 € Offerts
Voir l'offre
Voir l'offre
La sélection meilleurtaux
BoursoBank
150 € Offerts
Voir l'offre
Voir l'offre
La sélection meilleurtaux
Société Générale
90 € offerts
Voir l'offre
Voir l'offre
La sélection meilleurtaux
Fortuneo
80 € Offerts
Voir l'offre
Voir l'offre
Je compare les offres bancaires

Banque en ligne N26 : une avalanche de faiblesses détectée

Vincent Haupert a démontré que l’application mobile de la banque en ligne est vulnérable à une attaque appelée MITM ou l’homme du milieu. Dans son pseudo-piratage, il a démontré que l’application ne vérifie pas les certificats des serveurs N26.

Il lui a alors suffit d’utiliser de faux certificats afin de se placer en intermédiaire entre l’application et les serveurs. De cette manière, il a pu prendre le contrôle de l’API et faire des modifications de virement en temps réel. Il a également réussi à récupérer les identifiants du client en se servant du spear phishing.

Le chercheur s’est servi de la base de données de Dropbox pour recenser 33 000 clients de N26. Un pirate aurait pu envoyer un mail demandant à un client de modifier son mot de passe. Une fois les identifiants récupérés, Vincent Haupert a réalisé 1000 petits transferts en 30 minutes sans être détecté par les algorithmes anti-fraude de N26.

Une sécurité basique pour l’authentification

Du point de vue général, les règles de sécurité sont correctement respectées par cette banque en ligne. Pour avoir accès aux comptes bancaires, un client devra s’authentifier sur une adresse mail et un mot de passe.

Pour une double authentification, un code PIN à 4 chiffres lui est envoyé, ses coordonnées étant déjà renseignées à l’inscription. De cette manière, le smartphone est directement reconnu par les serveurs de la banque en ligne.

Je compare les offres bancaires

Le bug découvert, la sécurité renforcée

Suite à ce test effectué par Vincent Haupert, la banque en ligne a immédiatement réagi en bouchant les failles de sécurité qu’il a mise en évidence. Pour renforcer la sécurisation des comptes de ses clients, la néo-banque a lancé un programme de recherche de bug.

Ce programme, dit bug bounty, se focalisera sur les applications Android et iOS, ainsi que sur les sites spécifiques. Toujours dans cette optique, elle s’engage à subventionner d’une somme de 5000 euros deux thèses qui ont pour objet la sécurité informatique.

Archives

Tout Meilleurtaux dans votre poche Meilleurtaux Reprenez le pouvoir sur votre budget

Faites des économies, suivez l’activité de vos comptes et simulez un achat immobilier ou un crédit consommation.

Meilleurtaux Placement Reprenez le pouvoir sur votre épargne.

Suivez la performance de tous vos contrats (assurance vie, retraite, immobilier, défiscalisation) et re-versez facilement. Garantie 0 paperasse.

Meilleurtaux Partenaires L’application gagnante pour les professionnels.

Augmentez votre chiffre d’affaires immobilières, gagnez en efficacité lors des premières visites, développez votre business au delà de l’immobilier et travaillez votre image et votre réputation.

application meilleurtaux
fraude Vigilance fraude et accompagnement

Attention, vous pouvez être sollicités par de faux conseillers Meilleurtaux vous proposant des crédits et/ou vous demandant de transmettre des documents, des fonds, des coordonnées bancaires, etc.
Soyez vigilants · Meilleurtaux ne demande jamais à ses clients de verser sur un compte les sommes prêtées par les banques ou bien des fonds propres, à l’exception des honoraires des courtiers. Les conseillers Meilleurtaux vous écriront toujours depuis une adresse mail xxxx@meilleurtaux.com
Vous avez un doute sur l’un de vos contacts ou pensez être victime d’une fraude ? Consultez notre guide.