| EN BREF |
|
La sécurité informatique chez McDonald’s est au cœur d’une polémique récente, révélée par un hacker éthique connu sous le pseudonyme de « BobDaHacker ». Ce dernier a mis en lumière des failles critiques dans les systèmes internes de l’entreprise, permettant à des individus mal intentionnés d’accéder à des informations sensibles et d’exploiter ces vulnérabilités à leur avantage. Ces incidents soulèvent des questions cruciales sur la manière dont les grandes entreprises protègent leurs données et sur l’importance de mettre en place des protocoles de sécurité robustes.
Les failles de sécurité dévoilées
Le hacker, BobDaHacker, a découvert des failles importantes dans les systèmes de McDonald’s, notamment dans leur application de livraison. Le manque de protection côté serveur permettait de commander de la nourriture gratuitement. Ces failles donnaient également accès à des droits d’administrateur sur les plateformes de marketing et aux portails d’entreprise.
Les tentatives de signalement de ces failles ont été compliquées par l’absence de canal de communication dédié à la sécurité chez McDonald’s. BobDaHacker a dû utiliser des méthodes non conventionnelles pour entrer en contact avec le personnel compétent, soulignant ainsi l’importance d’avoir une structure claire pour le signalement de ces problèmes.
Un processus de correction laborieux
Bien que McDonald’s ait corrigé certaines de ces failles, le processus de correction a été jugé lent et inefficace par le hacker. Par exemple, le système de gestion de comptes au sein de la plateforme globale de marketing, le Feel-Good Design Hub, a mis trois mois à être mis en place après le signalement initial.
Malgré ces efforts, des problèmes subsistaient, comme l’envoi de mots de passe en texte clair et l’exposition de clés API dans le code JavaScript. Ces lacunes laissent la porte ouverte à de nouvelles exploitations par des hackers potentiels.
Impact sur les employés et partenaires
Les failles découvertes ne se limitaient pas aux systèmes de commande. Les portails internes de McDonald’s étaient également vulnérables, notamment à cause d’une mauvaise configuration OAuth. Cela permettait à des employés ordinaires d’accéder à des zones réservées aux cadres et à des documents sensibles.
BobDaHacker a évoqué un cas où son partenaire de recherche chez McDonald’s a perdu son emploi en raison de préoccupations de sécurité de la part de la direction. Cela soulève des questions sur la façon dont l’entreprise gère les divulgations internes et les conséquences pour les employés impliqués.
Des pratiques de sécurité à revoir
Malgré la correction de nombreuses failles, certaines pratiques de sécurité chez McDonald’s restent préoccupantes. Le hacker a noté que le fichier security.txt, créé pour faciliter la communication autour des problèmes de sécurité, a été retiré peu après son introduction.
De plus, des chercheurs ont récemment révélé que le bot d’embauche de McDonald’s, Olivia, était protégé par un mot de passe extrêmement faible. Cela a compromis les données de 64 millions de candidats.
Les révélations faites par BobDaHacker mettent en lumière les défis auxquels sont confrontées les grandes entreprises en matière de sécurité informatique. Alors que McDonald’s tente de renforcer ses systèmes, la question demeure : comment les entreprises mondiales peuvent-elles mieux protéger leurs données et instaurer une culture de sécurité robuste et proactive ?
