Ce qu’un attaquant voit de votre site en trente secondes

En janvier 2023, T-Mobile annonce qu’un tiers a récupéré les données d’environ 37 millions de comptes clients. Le moyen : une interface technique (une API) qui répondait à des requêtes qu’elle n’aurait pas dû servir. Le fait est confirmé par l’opérateur lui-même dans son dépôt officiel auprès du régulateur boursier américain (source : dépôt SEC 8-K de T-Mobile, 19 janvier 2023 ; Krebs on Security).

Une API, c’est la porte de service d’une application : le canal par lequel le site parle à sa base de données. Quand cette porte répond sans vérifier qui frappe, elle livre les données à la chaîne.

La reconnaissance précède toujours l’attaque

Personne n’attaque à l’aveugle. La première étape d’un intrus n’est pas d’entrer : c’est de regarder. En quelques secondes, et sans rien forcer, un tiers peut lire une quantité d’informations que vous ne soupçonnez pas :

• les technologies qui font tourner votre site et leurs versions,
• les adresses techniques (API, points d’accès) que vos pages appellent en arrière-plan,
• les fichiers de configuration laissés accessibles par mégarde,
• les sous-domaines oubliés, souvent moins surveillés que le site principal.

Rien de tout cela n’est illégal ni sophistiqué. C’est de l’observation. Mais c’est à partir de cette carte que se décide la suite.

Pourquoi c’est la première chose à regarder

Votre surface exposée est la seule partie de votre sécurité qui soit visible depuis l’extérieur, donc la seule que vous partagez avec l’attaquant. La bonne nouvelle, c’est qu’elle se mesure. On peut dresser la même carte que lui, avant lui, et refermer ce qui n’a pas à être ouvert : une version qui trahit une faille connue, une API trop bavarde, un fichier de configuration en accès libre.

Ce que je recommande

Le test gratuit dresse cette carte de surface et vous donne une note immédiate : c’est le point de départ, celui qui vous montre ce qu’un tiers voit déjà. L’audit sur mandat va plus loin et teste ce que le scan ne peut pas voir : le comportement réel de vos API et de vos accès une fois sollicités.