Comment éviter d’être la prochaine fuite "vendue au kilo"
ump — Un mot de passe pourri backfill 2025-12-27 · Voir sur Substack ↗
HelloWork : nouvelle fuite. Le pattern est toujours le même → compte volé, connexion légitime, aspiration propre. Pas de SQLi hollywoodienne. Juste une session mal protégée et un rate limit absent. https://unmotdepassepourri.substack.com/p/comment-eviter-detre-la-prochaine
1/ HelloWork : nouvelle fuite. Et comme d'hab, on imagine un hack technique spectaculaire. Sauf que non. Le pattern réel, c'est : identifiants volés → connexion légitime → aspiration tranquille. Pas de WAF qui détecte, pas d'alerte. Juste un compte qui exfiltre.
2/ Le problème n'est pas (toujours) votre infra. C'est que vos sessions et votre auth sont traitées comme des détails. Un infostealer récupère les creds. L'attaquant se connecte proprement. Et si vous n'avez pas de rate limit sur l'export, il aspire tout en mode Dyson.
3/ MFA par email = illusion de sécurité. Si les creds viennent d'un stealer, y'a de bonnes chances que la boîte mail soit aussi compromise. Résultat : l'attaquant reçoit le code de validation et entre tranquille. → TOTP minimum. Passkeys si possible. Email = 0 protection.
4/ Un compte compromis ne devrait JAMAIS pouvoir exfiltrer votre base entière. Rate limiting sur recherche/export, détection d'anomalies (volume, vitesse, géoloc), step-up auth sur actions sensibles. Objectif : limiter les dégâts même quand vous perdez un compte.
5/ Les sessions immortelles, c'est le trou dans la raquette. Un attaquant vole un cookie de session → il rejoue la session, bypass le MFA, reste connecté des jours. Sessions courtes, rotation des tokens, invalidation côté serveur. Pas négociable.
6/ Cas réel vu en pentest : panel admin accessible via cookie volé, valide 30 jours, aucune ré-auth demandée sur export CSV. 1 compte RH compromis = base clients/candidats exfiltrée en 20 minutes. Détection : 0. Alerte utilisateur : 0.
7/ Vous pouvez avoir un WAF, des scans, une infra nickel… et finir en "pack promo à 500€" sur un forum. Parce que la vraie surface d'attaque, c'est pas votre code. C'est vos sessions mal gérées et vos comptes sous-protégés.
8/ Détails complets + checklist terrain ici : https://unmotdepassepourri.substack.com/p/comment-eviter-detre-la-prochaine
Cas réel vu en pentest : panel admin, cookie valide 30 jours, aucune ré-auth sur export CSV. 1 compte RH volé = base clients exfiltrée en 20 min. Détection : 0. C'est pas votre infra le problème, c'est votre gestion de session.
Le MFA par email sur un backoffice, c'est comme mettre un cadenas sur une porte… dont la clé est scotchée à côté. Si l'infostealer a pris les creds, il a aussi accès à la boîte mail. Le code de validation arrive directement chez l'attaquant.
Vous avez un WAF, des scans de vulnérabilités, des audits annuels… et vous vous faites quand même plumer. Parce que personne ne vérifie si un compte RH peut exporter 50 000 lignes en 10 minutes. Ni si vos cookies admin vivent 30 jours.