Liste, non exhaustive, de mauvaises pratiques.

❌ Ne pas renforcer son CMS. Ici, les contenus WordPress sont directement accessibles et donc indexables. Les infos des extensions aussi. Ainsi le readme.txt indique que le plugins Contact Form s'avère obsolète. L'accès au panneau d'administration est en accès libre, c'est une erreur, car ça augmente la surface et donc les tentatives d'attaques.

❌ Exposer directement ses services. Couvrez ce IIS, que je ne saurais voir. Hi OWA! La messagerie est à découvert.

❌ Commettre des erreurs de configuration. Bye bye SSL. Le portail http://spsti16.fr/ retourne une redirection permanente vers https://. C'est bien ? Non, pas sur les autres pages, exemple : http://spsti16.fr/adherer/

❌ Annoncer sur les réseaux sociaux ses projets en cours de développement. Il y a 4 mois, « Nous sommes ravis de vous annoncer que l'Espace Adhérent sera très bientôt accessible sur notre site internet. » ( LinkedIn )

Le 8 avril 2024 est indexé le PDF « Procédure simplifiée de 1 ère connexion au portail adhérent ». Dans l'œil d'un averti, un point va attirer l'attention mais pour des raisons évidentes, nous n'en diront pas plus. Le 19 mars 2024 est publié le « Manuel d'utilisation du portail adhérent ».

Sans en avoir conscience, les auteurs des documents font fuiter des infos sensibles.

En combinant tout ça, un attaquant doit se dire qu'il s'agit d'une cible facile.

❌ Produire & publier des documents sans vérifications. ( voir : ⓘ Le saviez-vous ? du 8 juin 2024 )

À la page 7 se trouve une image sur laquelle figue un masquage. L'utilisatrice, non formée aux risques, a pensé « cacher » ces informations. Erreur car l'image brute (sans masquage) contient les noms des utilisateurs inscrits sur le portail ainsi que les courriels. Et il y a d'autres problèmes…

Quel est l'intérêt de ce toot ?
Sensibiliser à ces questions.

Dans ce malheur, SPSTI16 a t'elle eu de la chance ? Oui. Définitivement car là où les affidés de Lockbit 3.0 se sont cantonnés à leurs activités, d'autres acteurs auraient pu s'installer durablement afin de commettre des méfaits bien plus dommageables, notamment financiers. Bien trop de personnes pensent ne pas être des cibles. Combien d'entre nous, sans analyses poussées, peuvent prétendre connaître son rôle et sa place en ce monde où le réel côtoie le virtuel ? Ces espaces, à la faible sécurité, se comptent par millions. L'un d'entre eux est peut-être le maillon faible qui nuira à vos activités. Il ne tient qu'à vous de ne pas être sur la liste. #informatique

Stay safe.