Le mois dernier, Tech Crunch a rapporté que le fabricant de terminaux de paiement Wiseeasy avait été piraté. Bien que Wiseeasy ne soit pas bien connu en Amérique du Nord, leurs terminaux de paiement basés sur Android sont largement utilisés dans la région Asie-Pacifique et les pirates ont réussi à voler les mots de passe de 140 000 terminaux de paiement.
Comment le piratage Wiseeasy s’est-il produit ?
Les employés de Wiseeasy utilisent un tableau de bord basé sur le cloud pour la gestion à distance des terminaux de paiement. Ce tableau de bord permet à l’entreprise d’effectuer diverses tâches de configuration et de gestion telles que la gestion des utilisateurs du terminal de paiement, l’ajout ou la suppression d’applications et même le verrouillage du terminal.
Les pirates ont pu accéder au tableau de bord Wiseeasy en infectant les ordinateurs des employés avec des logiciels malveillants. Cela a permis aux pirates d’accéder à deux tableaux de bord d’employés différents, ce qui a finalement conduit à une collecte massive d’informations d’identification de terminaux de paiement une fois qu’ils y ont eu accès.
Meilleures leçons de Wiseeasy Hack
1 — La transparence n’est pas toujours la meilleure politique
Bien qu’il soit facile de rejeter le piratage Wiseeasy à la suite d’une infection malveillante inévitable, la vérité est que Wiseeasy a commis plusieurs erreurs (selon l’article Tech Crunch) qui ont permis au piratage de réussir.
Par exemple, le tableau de bord lui-même a probablement exposé plus d’informations qu’il ne devrait en avoir. Selon Tech Crunch, le tableau de bord “permettait à quiconque de voir les noms, numéros de téléphone, adresses e-mail et autorisations d’accès”. Bien qu’il soit possible que ces informations soient nécessaires pour que Wiseeasy gère les terminaux au nom des clients, Tech Crunch poursuit qu’une vue du tableau de bord a révélé le nom Wi-Fi et le mot de passe en texte brut du réseau sur lequel se trouvait le terminal de paiement. Connecté à.
Dans un environnement de sécurité standard, les interfaces ne doivent jamais être conçues pour afficher des mots de passe. L’affichage ouvert des informations client, sans vérification secondaire par l’utilisateur final, enfreint également une politique de confiance zéro.
2 – Les informations d’identification seules ne suffiront pas
Un autre défaut qui a probablement aidé le piratage à réussir était que Wiseeasy n’exigeait pas l’utilisation d’une authentification multifacteur lors de l’accès au tableau de bord. Dans le passé, la plupart des systèmes étaient protégés uniquement par des identifiants d’authentification. Cela signifiait que toute personne ayant accès à un nom d’utilisateur et à un mot de passe valides pouvait se connecter, même si les informations d’identification étaient volées (comme ce fut le cas dans le piratage Wiseeasy).
L’authentification multifacteur oblige les utilisateurs à utiliser un mécanisme supplémentaire pour prouver leur identité avant d’accéder à des ressources sensibles. Souvent, cela signifie fournir un code envoyé au smartphone de l’utilisateur via un SMS, mais il existe de nombreuses autres formes d’authentification multi-facteurs. De toute façon, Wiseeasy n’a pas utilisé l’authentification multifacteur, rien n’empêchait les pirates de se connecter avec des identifiants volés.
3 — Les appareils doivent être vérifiés trois fois
Une troisième erreur possible peut avoir été que les employés de Wiseeasy ont accédé à des ressources sensibles à partir d’un appareil non renforcé. Tech Crunch a signalé avoir vu des captures d’écran du tableau de bord Wiseeasy où un utilisateur administrateur avait accès à distance aux terminaux de paiement. L’article de Tech Crunch ne dit pas que l’ordinateur de l’administrateur avait été infecté par un malware, mais comme un malware a été utilisé pour accéder au tableau de bord et que la capture d’écran montre un administrateur connecté au tableau de bord, il est tout à fait possible que la machine d’un administrateur ait été compromise.
En tant que meilleure pratique, les comptes privilégiés ne doivent être utilisés que lorsque cela est nécessaire pour une tâche spécifique (avec des comptes standard utilisés à d’autres moments). De plus, les comptes privilégiés ne devraient idéalement être utilisés que sur des systèmes de gestion désignés qui ont été renforcés et ne pas être utilisés pour d’autres tâches.
4 – Restez maître de votre propre sécurité
Enfin, la plus grosse erreur commise dans le piratage de Wiseeasy était que la société (d’après l’article de Tech Crunch) ne savait apparemment pas que les comptes avaient été compromis jusqu’à ce qu’elle soit contactée par Buguard.
Buguard est une société de sécurité spécialisée dans les tests d’intrusion et la surveillance du dark web. Idéalement, Wiseeasy surveillera son propre réseau à la recherche d’une violation potentielle et l’arrêtera immédiatement dès qu’il sera remarqué pour la première fois.
Allez-y : Comment protéger votre propre réseau d’un piratage similaire
Le hack Wiseeasy souligne l’importance de suivre les meilleures pratiques de sécurité établies de longue date, telles que l’exigence d’une authentification multifacteur et l’utilisation de postes de travail administratifs dédiés pour les opérations privilégiées. L’adhésion à une philosophie de confiance zéro dans votre organisation peut résoudre bon nombre de ces problèmes.
De plus, il est important d’avoir un moyen de savoir si les comptes de votre organisation ont été compromis. Sinon, un attaquant ayant obtenu l’accès aux informations d’identification de compte volées peut utiliser ces informations d’identification indéfiniment. L’un des meilleurs moyens d’éviter que cela ne se produise est d’utiliser la politique de mot de passe de Specop. Specops maintient une base de données de milliards de mots de passe connus pour avoir été compromis.
Cette base de données est tenue à jour avec les mots de passe figurant sur des listes de violations de mot de passe connues, ainsi que les mots de passe activement utilisés dans les attaques. La politique de mot de passe Specops utilise ces informations pour s’assurer qu’aucun des mots de passe de l’utilisateur n’a été compromis. S’il s’avère qu’un compte utilise un mot de passe compromis, le logiciel vous alertera afin que vous puissiez désactiver le compte ou modifier le mot de passe immédiatement. Vous pouvez tester gratuitement, à tout moment, l’outil de politique de mot de passe de Specop dans votre annonce.
Que vous installiez des tests d’intrusion en interne, que vous passiez à une infrastructure de confiance zéro ou que vous bloquiez les violations de mot de passe connues d’Active Directory, il existe de nombreuses façons de s’assurer que votre organisation ne soit pas victime des conséquences d’attaques de logiciels malveillants comme Wiseeasy.
