Comment trois hackers ont mis la main sur le passeport de Max Verstappen (accidentellement).
Comment cela a commencé
Les trois chercheurs en sécurité dont il est question dans cette histoire sont Ian Carroll, Sam Curry et Gal Nagli. Ils travaillent depuis des années à la détection des fuites numériques. Ils le font non seulement pour gagner de l’argent, mais aussi pour aider les organisations à mieux sécuriser leurs systèmes. Alors qu’ils visitaient une épreuve de Formule 1, ils ont eu l’idée d’examiner le degré de protection de l’environnement en ligne de la FIA. Il ne s’agissait pas d’une intention malveillante, mais d’une simple curiosité professionnelle.
La découverte
Les pirates ont créé un compte de test sur une plateforme officielle de la FIA destinée aux pilotes et aux équipes. C’est là, par exemple, que les pilotes peuvent télécharger leurs données pour demander leur « super licence », le « permis de conduire » nécessaire pour courir en Formule 1. La plateforme semblait assez innocente : vous remplissez quelques informations, téléchargez des documents et attendez l’approbation.
Mais lorsque les pirates ont étudié le système de plus près, ils ont découvert quelque chose qui n’allait pas. Le site web ne vérifiait pas correctement si une personne connectée avait réellement les droits qu’elle revendiquait. En modifiant quelques lignes de code, ils ont pu donner plus de pouvoir à leur compte – littéralement. En quelques secondes, ils sont devenus administrateurs (« le patron ») du système.
Un accès soudain à tout
Grâce à ces nouveaux droits, ils pourront soudainement consulter toutes les données des conducteurs enregistrés dans le système. Des adresses électroniques aux numéros de téléphone, en passant par les permis de conduire, les CV et même les passeports. Lorsqu’ils ont constaté que les données de
Réaction de la FIA
Les enquêteurs ont immédiatement signalé la fuite à la FIA par courrier électronique et sur LinkedIn. L’organisation a réagi le jour même et a mis le système hors ligne. En l’espace d’une semaine, la fuite a été colmatée et les pirates ont reçu la confirmation que le problème avait été entièrement résolu. Aujourd’hui, quelques mois plus tard, ils sont autorisés à rendre leur histoire publique – sans détails trop sensibles, bien sûr.
Photo d’en-tête : Red Bull Contentpool