La néobanque N26 renforce la sécurité sur son site suite à un piratage
- Détails
-
Publié le par Meilleurtaux Banques
Pour Number 26, un bug a été détecté par un expert en sécurité. Ce piratage a permis à la plateforme de renforcer ses mesures de sécurité.
Durant le Chaos Communication Congress à Hambourg, un expert en sécurité ayant participé à l’atelier « Tais-toi et prend l’argent » s’est lancé dans le piratage de la banque en ligne Number 26.
Cette plateforme promet une inscription éclaire en 8 minutes, alors qu’il a suffit 5 minutes à l’application mobile de Vincent Haupert pour pirater un compte. Grâce à cette intervention, les failles de la banque ont été découvertes et rapidement bouchées.
Je compare les offres bancaires
Banque en ligne N26 : une avalanche de faiblesses détectée
Vincent Haupert a démontré que l’application mobile de la banque en ligne est vulnérable à une attaque appelée MITM ou l’homme du milieu. Dans son pseudo-piratage, il a démontré que l’application ne vérifie pas les certificats des serveurs N26.
Il lui a alors suffit d’utiliser de faux certificats afin de se placer en intermédiaire entre l’application et les serveurs. De cette manière, il a pu prendre le contrôle de l’API et faire des modifications de virement en temps réel. Il a également réussi à récupérer les identifiants du client en se servant du spear phishing.
Le chercheur s’est servi de la base de données de Dropbox pour recenser 33 000 clients de N26. Un pirate aurait pu envoyer un mail demandant à un client de modifier son mot de passe. Une fois les identifiants récupérés, Vincent Haupert a réalisé 1000 petits transferts en 30 minutes sans être détecté par les algorithmes anti-fraude de N26.
Une sécurité basique pour l’authentification
Du point de vue général, les règles de sécurité sont correctement respectées par cette banque en ligne. Pour avoir accès aux comptes bancaires, un client devra s’authentifier sur une adresse mail et un mot de passe.
Pour une double authentification, un code PIN à 4 chiffres lui est envoyé, ses coordonnées étant déjà renseignées à l’inscription. De cette manière, le smartphone est directement reconnu par les serveurs de la banque en ligne.
Je compare les offres bancaires
Le bug découvert, la sécurité renforcée
Suite à ce test effectué par Vincent Haupert, la banque en ligne a immédiatement réagi en bouchant les failles de sécurité qu’il a mise en évidence. Pour renforcer la sécurisation des comptes de ses clients, la néo-banque a lancé un programme de recherche de bug.
Ce programme, dit bug bounty, se focalisera sur les applications Android et iOS, ainsi que sur les sites spécifiques. Toujours dans cette optique, elle s’engage à subventionner d’une somme de 5000 euros deux thèses qui ont pour objet la sécurité informatique.
