Capital One : les leçons du piratage selon Brian Krebs

Le journaliste spécialisé Brian Krebs analyse en 2019 comment une erreur de configuration dans le cloud a permis le vol de données chez Capital One.

Sur son site Krebs on Security, le journaliste revient sur le piratage de Capital One. Selon son analyse, l'attaquante a exploité un pare-feu applicatif mal configuré, hébergé dans le cloud d'Amazon, pour obtenir des identifiants d'accès aux espaces de stockage de la banque.

Cette technique, dite falsification de requête côté serveur, consiste à faire exécuter par un serveur des requêtes internes qu'il n'aurait pas dû accepter. Elle permettait ici d'interroger le service de métadonnées du serveur et d'en extraire des droits trop étendus.

Krebs souligne que le problème ne venait pas d'une faille du fournisseur de cloud, mais de la configuration réalisée par le client. Il plaide pour une limitation stricte des droits accordés à chaque composant.