La néobanque N26 renforce la sécurité sur son site suite à un piratage

Piratage site bancaire

Pour Number 26, un bug a été détecté par un expert en sécurité. Ce piratage a permis à la plateforme de renforcer ses mesures de sécurité.

Durant le Chaos Communication Congress à Hambourg, un expert en sécurité ayant participé à l’atelier « Tais-toi et prend l’argent » s’est lancé dans le piratage de la banque en ligne Number 26.

Cette plateforme promet une inscription éclaire en 8 minutes, alors qu’il a suffit 5 minutes à l’application mobile de Vincent Haupert pour pirater un compte. Grâce à cette intervention, les failles de la banque ont été découvertes et rapidement bouchées.

Banque en ligne N26 : une avalanche de faiblesses détectée

Vincent Haupert a démontré que l’application mobile de la banque en ligne est vulnérable à une attaque appelée MITM ou l’homme du milieu. Dans son pseudo-piratage, il a démontré que l’application ne vérifie pas les certificats des serveurs N26.

Il lui a alors suffit d’utiliser de faux certificats afin de se placer en intermédiaire entre l’application et les serveurs. De cette manière, il a pu prendre le contrôle de l’API et faire des modifications de virement en temps réel. Il a également réussi à récupérer les identifiants du client en se servant du spear phishing.

Le chercheur s’est servi de la base de données de Dropbox pour recenser 33 000 clients de N26. Un pirate aurait pu envoyer un mail demandant à un client de modifier son mot de passe. Une fois les identifiants récupérés, Vincent Haupert a réalisé 1000 petits transferts en 30 minutes sans être détecté par les algorithmes anti-fraude de N26.

Une sécurité basique pour l’authentification

Du point de vue général, les règles de sécurité sont correctement respectées par cette banque en ligne. Pour avoir accès aux comptes bancaires, un client devra s’authentifier sur une adresse mail et un mot de passe.

Pour une double authentification, un code PIN à 4 chiffres lui est envoyé, ses coordonnées étant déjà renseignées à l’inscription. De cette manière, le smartphone est directement reconnu par les serveurs de la banque en ligne.

Le bug découvert, la sécurité renforcée

Suite à ce test effectué par Vincent Haupert, la banque en ligne a immédiatement réagi en bouchant les failles de sécurité qu’il a mise en évidence. Pour renforcer la sécurisation des comptes de ses clients, la néo-banque a lancé un programme de recherche de bug.

Ce programme, dit bug bounty, se focalisera sur les applications Android et iOS, ainsi que sur les sites spécifiques. Toujours dans cette optique, elle s’engage à subventionner d’une somme de 5000 euros deux thèses qui ont pour objet la sécurité informatique.

Choisir la Meilleure Banque

Comparez gratuitement et sans engagement plus de 160 banques en ligne et réseau en moins de 1 minute. Economisez jusqu'à 300€ sur vos frais bancaires

economisez jusqu'a 300€ sur vos frais bancaire
je trouve ma banque

Archives

back top