Le fonctionnement sur Hellobank / BNP est identique, voire moins sécurisé, vu qu'ils demandent le mot de passe du compte avant d'envoyer le SMS (il n'y a pas de petites économies, hein?)
Ce qui me rends dingue, c'est qu'il n'y a pas de moyen d'éviter cette daube.
Comment un informaticien peut coder ça, sérieux ?
Une simple capture du HTML + CSS et c'est le paradis du phishing.
1. Tu proposes un site bidon avec de la vente de produit (削除) pas (削除ここまで) moins cher que d'habitude.
2. Puis tu demandes de payer avec ta CB. Avec les 4 premiers numéro de la CB, tu identifies que la CB provient du réseau BNP.
3. Tu balances une fausse iframe avec les bons logos et autre DOM/CSS que tu as capturé, et une iframe (inaccessible, dans la marge) sur le site d'Hellobank/BNP pour capturer les formulaires enregistrés (l'identifiant du compte n'est pas codé, il est en clair).
4. L'utilisateur va entrer son mot de passe de connexion. Avec l'identifiant capturé dans l'iframe plus le mot de passe de l'utilisateur, tu te loggues sur Hellobank.
5. Hellobank/BNP va détecter que ce n'est pas la même origine que d'habitude et va donc t'envoyer un SMS avec un code de connexion.
6. Tu demandes à l'utilisateur sur le deuxième page de l'iframe le code reçu.
7. L'utilisateur va entrer le code, forcément (même si le montant de l'achat n'est pas spécifié, car quoi, lui ne sait pas comment doit être le SMS).
8. Voilà, tu peux donc accéder au compte de l'utilisateur. Lui pomper ces données et ses sous.
9. Si tu veux pousser le vice encore plus, tu envoies un pseudo message d'erreur à l'utilisateur dans la troisième page de l'iframe, avec un bouton pour qu'il demande le renvoi du code reçu. (Forcément, aucune banque n'accepte de retaper un code, c'est supposé être du one-shot)
10. L'utilisateur va très probablement cliquer sur le bouton. Parallèlement tu procèdes à un vrai achat pendant ce temps, vu que tu as tout ce qu'il te faut (mot de passe + code SMS entré par l'utilisateur, cette fois pour le "vrai" achat).
11. Voilà, l'utilisateur va recevoir un mail légitime de la banque lui indiquant qu'il a dépensé X€ chez machin chose.
Toi, t'as gagné un accès direct sur son compte pour 3 mois.
C'est franchement donner le bâton pour se faire battre à ce niveau.
# Même bateau avec BNP/Hellobank
Posté par xryl669 . En réponse au journal BPCE et les paiements avec authentification à deux facteurs. Évalué à 3. Dernière modification le 09 mai 2022 à 17:15.
Le fonctionnement sur Hellobank / BNP est identique, voire moins sécurisé, vu qu'ils demandent le mot de passe du compte avant d'envoyer le SMS (il n'y a pas de petites économies, hein?)
Ce qui me rends dingue, c'est qu'il n'y a pas de moyen d'éviter cette daube.
Comment un informaticien peut coder ça, sérieux ?
Une simple capture du HTML + CSS et c'est le paradis du phishing.
1. Tu proposes un site bidon avec de la vente de produit
(削除) pas (削除ここまで)moins cher que d'habitude.2. Puis tu demandes de payer avec ta CB. Avec les 4 premiers numéro de la CB, tu identifies que la CB provient du réseau BNP.
3. Tu balances une fausse iframe avec les bons logos et autre DOM/CSS que tu as capturé, et une iframe (inaccessible, dans la marge) sur le site d'Hellobank/BNP pour capturer les formulaires enregistrés (l'identifiant du compte n'est pas codé, il est en clair).
4. L'utilisateur va entrer son mot de passe de connexion. Avec l'identifiant capturé dans l'iframe plus le mot de passe de l'utilisateur, tu te loggues sur Hellobank.
5. Hellobank/BNP va détecter que ce n'est pas la même origine que d'habitude et va donc t'envoyer un SMS avec un code de connexion.
6. Tu demandes à l'utilisateur sur le deuxième page de l'iframe le code reçu.
7. L'utilisateur va entrer le code, forcément (même si le montant de l'achat n'est pas spécifié, car quoi, lui ne sait pas comment doit être le SMS).
8. Voilà, tu peux donc accéder au compte de l'utilisateur. Lui pomper ces données et ses sous.
9. Si tu veux pousser le vice encore plus, tu envoies un pseudo message d'erreur à l'utilisateur dans la troisième page de l'iframe, avec un bouton pour qu'il demande le renvoi du code reçu. (Forcément, aucune banque n'accepte de retaper un code, c'est supposé être du one-shot)
10. L'utilisateur va très probablement cliquer sur le bouton. Parallèlement tu procèdes à un vrai achat pendant ce temps, vu que tu as tout ce qu'il te faut (mot de passe + code SMS entré par l'utilisateur, cette fois pour le "vrai" achat).
11. Voilà, l'utilisateur va recevoir un mail légitime de la banque lui indiquant qu'il a dépensé X€ chez machin chose.
Toi, t'as gagné un accès direct sur son compte pour 3 mois.
C'est franchement donner le bâton pour se faire battre à ce niveau.