15 avril 2024

Seneinfo

Restez toujours informé

Un expert en informatique bulgare arrêté après avoir démontré une vulnérabilité dans le logiciel d’une crèche

Cette vulnérabilité a permis à l’expert Petko Petrov de télécharger les détails de 235 543 citoyens de Stara Zagora, une province du centre de la Bulgarie comptant plus de 333 000 habitants.

Petkov a présenté la faille de sécurité dans une vidéo qu’il a publiée sur Facebook plus tôt cette semaine, le 25 juin.

La vidéo montre que Petkov lance une attaque automatisée contre le portail web de la municipalité locale, utilisé par les parents pour inscrire leurs enfants à la maternelle. En exploitant la faille de sécurité en question, le logiciel est capable d’obtenir des données de citoyens bulgares.

Dans une note publiée avec la vidéo sur Facebook, Petkov a déclaré qu’il avait tenté de contacter le fabricant de logiciels et les autorités locales, mais avait été ignoré.

Le code est sur GitHub

Le post Facebook incluait également un lien vers un dépôt GitHub où tout le monde pouvait télécharger le code permettant d’exploiter la vulnérabilité. À la suite de la divulgation publique de la faille, les autorités bulgares ont arrêté le chercheur en sécurité vendredi. Il a été emprisonné pendant 24 heures, mais a ensuite été remis en liberté.

Les procureurs locaux peuvent encore poursuivre au titre de l’article 319A du Code pénal bulgare, qui punit le fait d’obtenir des informations du gouvernement par des méthodes illégales. S’il est inculpé et reconnu coupable, Petkov encourt une peine d’un à trois ans de prison et une amende pouvant aller jusqu’à 5 000 leva (2 900 dollars), selon la presse locale [1234].

Le même logiciel utilisé dans d’autres provinces

Entre temps, les responsables de Stara Zagora ont mis fin à l’utilisation du logiciel vulnérable. Le maire de la ville de Stara Zagora a déclaré aux médias locaux [123] que le fabricant de logiciels n’avait pas répondu aux demandes de responsables gouvernementaux.

Le maire de Stara Zagora a déclaré que la société, nommée Information Services AD, devra réparer son logiciel à ses propres frais. Petkov a déclaré que le même logiciel était également utilisé dans d’autres provinces bulgares, ce qui signifie que les pirates pourraient avoir une porte ouverte pour collecter les données des citoyens bulgares.

Les données collectées via la vulnérabilité détectée par Petkov incluent des informations généralement stockées dans une base de données nationale centrale gérée par le Département de l’enregistrement civil et des services administratifs (GRAO).

Selon son site web, la base de données GRAO « ressemble à l’identification du numéro de sécurité sociale (ou similaire) dans d’autres pays ». « Le système enregistre en tant que données personnelles les noms, adresses, état civil, décès, parentés, données de passeport, nationalité et parents – enfants, frères et sœurs d’environ 10,5 millions de citoyens (en comptant 2 millions de personnes décédées). » 

Source : Bulgarian IT expert arrested after demoing vulnerability in kindergarten software