SFR : une faille a permis à un client d’accéder aux factures de n’importe quel abonné

Un client SFR a réussi à accéder aux factures de n’importe quel client en se rendant simplement sur le site de l’opérateur. Une faille était à l’origine du problème. S’il avait été mal intentionné, ce client aurait pu dérober des millions de données personnelles. Averti, SFR a apporté un correctif.

Depuis quelques années maintenant, les opérateurs proposent à leurs abonnés d’accéder à leurs factures en ligne. SFR a adopté ce procédé depuis longtemps maintenant, mais cela ne l’empêche pas d’avoir commis une petite erreur dans la mise en place du système dernièrement. Et alors que SFR fait l'objet de nombreux litiges, un client est parvenu à accéder aux factures de n’importe quel client.

SFR : une faille dans la facturation en ligne rapidement corrigée

Ce sont nos confrères de Next Inpact qui ont obtenu l’information. Un client comme vous et moi s’est rendu sur le portail SFR pour consulter sa facture en ligne. Sur son site, l’opérateur propose soit de télécharger, soit de lire directement la facture en ligne.

Avec cette seconde méthode, SFR propose donc la facture au format PDF incrustée sur sa page web. Le problème, c’est qu’un lien hypertexte est utilisé pour afficher la facture du client. C’est ce lien qui pouvait être trouvé ou modifié par n’importe quel client. Et si le client avait eu des connaissances un peu plus poussées en informatique, il aurait pu automatiser le processus pour accéder à des milliers de factures éditées le même jour.

Evidemment, le danger de cette faille dans le système SFR était lié à la protection des données personnelles. Car sur ces factures figurent le nom, l’adresse, les numéros de téléphone, l’adresse email, le numéro du contrat, la date de fin d’engagement du client. Autant d’informations qui pourraient donc permettre à une personne malintentionnée de faire des dégâts.

Heureusement pour SFR, le client ayant découvert ce problème était bienveillant et a prévenu l’opérateur qui a pu corriger la faille le 1er Mars. Interrogé par nos confrères, SFR n’a pas souhaité faire de commentaire.

Les dernières infos SFR