SOS Villages : une fuite de coordonnées est revendiquée

Une plateforme destinée aux commerces à reprendre

SOS Villages est un service de TF1 Info qui met en relation des personnes souhaitant céder une activité et des repreneurs potentiels. Les annonces portent sur des commerces ou des activités dans les territoires. Elles peuvent indiquer le lieu, le secteur, le prix, une description du projet et un moyen de contacter leur auteur.

La plateforme officielle présente ce service comme une opération de mise en relation entre commerçants, commerçantes et repreneurs. Ce contexte compte : une information de contact associée à une annonce peut renseigner un escroc sur un projet professionnel précis, pas seulement sur l’identité d’une personne.

260 000 enregistrements revendiqués, pas 260 000 personnes établies

Le pirate WAKUPQ attribue l’opération au groupe LunarisSec et revendique environ 260 000 enregistrements issus de SOS Villages. Ce nombre doit être lu avec prudence. Il s’agit du volume annoncé d’entrées extraites, non d’un décompte confirmé de personnes distinctes. Une même personne peut apparaître dans plusieurs annonces ou plusieurs enregistrements.

Cyberattaque.org indique avoir obtenu et examiné des échantillons associés à cette revendication. Ces échantillons comporteraient notamment les titres et URL des annonces, leur localisation, des informations sur l’activité proposée, ainsi que des noms, adresses e-mail et numéros de téléphone. Cette observation ne constitue toutefois pas, à elle seule, une confirmation publique de TF1 sur l’ampleur de l’incident.

Le point sensible : des coordonnées prévues pour rester masquées

Une partie des informations présentes dans les annonces est visible publiquement. Elle peut donc être collectée automatiquement sans intrusion : titre, commune, secteur, prix ou description. La présence de ces données ne suffit pas à prouver une faille.

Le problème décrit est ailleurs. D’après Cyberattaque.org, les échantillons comprennent aussi des adresses e-mail et numéros de téléphone accompagnés d’indicateurs signalant qu’ils ne devaient pas être affichés aux visiteurs. Si ces éléments sont bien issus de la plateforme, la fuite dépasserait donc la simple copie d’annonces publiques.

Une faille IDOR est évoquée

La source spécialisée attribue l’accès aux données non publiques à une faille IDOR, pour Insecure Direct Object Reference. Ce type de défaut survient lorsqu’une application utilise une référence, par exemple un identifiant d’annonce, sans vérifier correctement que la personne qui la consulte est autorisée à voir la ressource correspondante.

Il ne s’agit pas d’un mot de passe deviné ni d’une attaque spectaculaire. Le risque vient d’un contrôle d’accès insuffisant : en changeant une référence, un tiers peut récupérer des fiches qu’il ne devrait pas pouvoir consulter. C’est précisément pourquoi une option d’affichage masqué n’est protectrice que si le serveur applique aussi cette restriction.

Le scénario le plus crédible : un faux repreneur très renseigné

Un nom, un numéro et une adresse e-mail prennent une autre dimension lorsqu’ils sont reliés à une activité à céder, à une commune et parfois à un prix ou à un secteur professionnel. Un escroc peut alors se présenter comme un repreneur intéressé, un intermédiaire ou un représentant de la plateforme, avec un discours adapté à l’annonce.

Ne répondez pas dans l’urgence à une demande de document, de code reçu par SMS, d’avance de frais ou de changement de coordonnées bancaires. Si un interlocuteur affirme appeler à propos d’une annonce, raccrochez et reprenez vous-même le contact à partir des coordonnées connues de la plateforme ou du professionnel. Le fait qu’il connaisse votre projet ne prouve pas qu’il est légitime.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier de manière indépendante que les 260 000 enregistrements annoncés correspondent à des personnes distinctes, ni connaître le nombre exact de coordonnées non publiques concernées. La méthode complète d’extraction, les dates de l’accès, l’éventuelle correction de la faille et l’identité réelle des auteurs ne sont pas établies par les sources lues.

Surtout, nous n’avons trouvé ni communiqué de TF1 Info ni confirmation publique de SOS Villages confirmant l’incident ou son périmètre. L’affaire est donc présentée comme une revendication, étayée par les échantillons décrits par Cyberattaque.org, et non comme une fuite confirmée par la victime.

Sources : Cyberattaque.org ↗ · SOS Villages ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.