Depuis la crise du COVID-19, de nombreuses sociétés de gestion de voyages ont été bloquées. Mais que se passera-t-il lorsque les frontières s’ouvriront et que les employés remonteront dans les avions?
Pour de nombreuses organisations, les voyages d’affaires sont un élément opérationnel essentiel qui permet la croissance grâce à la mise en réseau et à la rencontre des clients et partenaires existants et futurs. Ainsi, les TMC sont embauchés pour devenir des partenaires fiables qui peuvent accompagner leurs clients dans leurs projets de voyage. Pourtant, des mesures de sécurité inadéquates pour protéger les informations critiques des voyageurs peuvent être une des raisons de la perte de revenus et de la réputation des TMC. Il n’y a pas si longtemps, la société américaine de gestion de voyages d’entreprise, Carlson Wagonlit Travel, a subi une intrusion, et on pense que la société a payé 4,5 millions de dollars aux pirates qui ont volé des rames de fichiers d’entreprise sensibles et déclaré avoir mis 30000 ordinateurs hors ligne, selon un record les négociations de rançon vues par Reuters.
L’équipe de sécurité de DataArt ayant acquis de l’expérience dans la réalisation de services de tests d’intrusion pour le secteur des voyages d’affaires, nous décrirons dans cet article quelques exemples de vulnérabilités de sécurité courantes dans les solutions Web TMC.
La menace qui peut affecter le plus les entreprises est peut-être le problème des contrôles d’accès. L’exploitation de cette vulnérabilité peut donner à un pirate un contrôle presque total sur les données sensibles d’une entreprise. Malheureusement, les plates-formes de voyage d’entreprise multi-locataires risquent de manquer de contrôles d’accès au niveau des fonctions, ce qui conduit à une situation dans laquelle un utilisateur malveillant sans les autorisations appropriées est en mesure d’obtenir des informations sur toute transaction / utilisateur / voyage / etc. existant dans le système. Comme exemple possible d’une telle attaque, un gestionnaire de voyages d’une entreprise peut obtenir des informations détaillées sur les employés d’une autre entreprise enregistrés dans le même TMC, y compris leurs détails de passeport, leurs cartes de crédit, etc. Il est donc important que les utilisateurs soient informés accéder uniquement à leurs propres données et aux parties du système avec lesquelles ils doivent travailler, et à un niveau correspondant à leur rôle.
De plus, la situation est encore plus dramatique lorsque les problèmes de contrôle d’accès sont associés à un accès non autorisé à la documentation de l’API. Dans les cas où la documentation de l’API sur les services tiers n’est pas masquée, les attaquants peuvent l’utiliser pour se connecter à ces services déguisés en développeurs et essayer d’accéder à des informations sensibles ou d’abuser du système.
Néanmoins, la faiblesse des contrôles de qualité des mots de passe reste un facteur clé dans le détournement de comptes, donnant à un attaquant la possibilité de deviner facilement les comptes ciblés via des attaques par force brute. Ces attaques peuvent être atténuées en définissant une limitation du nombre de tentatives de saisie d’un mot de passe incorrect. Par exemple, après la troisième tentative, le système peut soit verrouiller le compte, soit exiger le défi CAPTCHA supplémentaire pour ralentir la détermination du mot de passe. En outre, il s’agit d’une menace courante lorsqu’une application renvoie le mot de passe de l’utilisateur au client de manière non cryptée via n’importe quel canal public (boîte aux lettres, téléphone, etc.) spécifié lors de l’enregistrement. Une fois qu’un attaquant aura accès à la boîte aux lettres de la victime, il pourra utiliser les informations d’identification fournies et ainsi voler le compte du voyageur d’affaires. Les attaques de ce type pourraient être atténuées en utilisant des schémas de gestion des informations d’identification sécurisées et par des méthodes d’authentification secondaires adéquates.
Les protocoles vulnérables et non sécurisés sont également une grande source de problèmes pour les applications de voyage d’affaires. Ils sont souvent affectés par de multiples failles cryptographiques et causés par des configurations faibles des serveurs Web et du middleware. Il est fortement recommandé de vérifier si le protocole est toujours pris en charge et de choisir les alternatives les plus sûres s’il est obsolète ou en fin de vie.
De nombreux produits issus des voyages d’affaires sont encore vulnérables à des types de vulnérabilités bien connus comme les attaques XSS (scripts intersites). Les principales menaces des attaques de scripts intersites sont les suivantes:
Les attaques XSS sont dangereuses car un attaquant obtient un accès complet au navigateur d’une victime et peut l’utiliser pour des actions malveillantes.
Les résultats de ces attaques entraînent le vol d’informations sensibles stockées dans le navigateur (sessions actives, données personnelles), des attaques de phishing, l’injection de code malveillant (par exemple, pour l’extraction cachée de bitcoins), l’accès à la caméra / au microphone de l’appareil, etc. plus.
L’exemple suivant peut illustrer le danger des scripts XSS: un attaquant peut modifier la structure d’une solution TMC en affichant une nouvelle fenêtre qui nécessitera de ressaisir les informations d’identification d’une victime pour continuer à travailler. Une fois le mot de passe saisi, il est envoyé au malfaiteur lui donnant ainsi un accès complet au compte du voyageur d’affaires.
Dans l’ensemble, afin d’éviter les incidents de cybersécurité, nous vous recommandons de faire effectuer un pentest par un fournisseur de sécurité indépendant au moins une fois par an ou chaque fois qu’un changement important est apporté à l’environnement d’une entreprise. De plus, les règles de codage sécurisé sont plus importantes que jamais et il convient de noter que tous les actifs commerciaux associés sont conservés