Anonymous Pologne vs World Anti-Doping Agency – Piratage et leak de données (très) sensibles

Alors que les JO 2016 battent leur plein, Anonymous Pologne a réussi à s’introduire au sein des systèmes de l’Agence mondiale antidopage (World Anti-Doping Agency) et a en extraire des informations hautement sensibles qui se retrouvent diffusées sur le Net.

Coup dur pour l’Agence mondiale antidopage et surtout pour les athlètes concernés par la fuite massive de données personnelles sensibles. La fondation World Anti-Doping Agency basée au Canada a en effet vu ses systèmes tomber aux mains de la mouvance Anonymous après l’exploitation d’une vulnérabilité le 12 août 2016.

Une vidéo du piratage montrant quelqu’un navigant illégalement sur le serveur de l’Agence antidopage a même été publiée sur YouTube :

https://www.youtube.com/watch?v=day5Aq0bHsA

Les pirates informatiques ont pu s’emparer de données privées hautement sensibles concernant les athlètes des Jeux Olympiques 2016 de Rio, alors même que des scandales de dopage et de triche éclatent dans les médias, notamment à l’encontre d’athlètes russes. Au final, c’est dossier compressé de 20 Mo qui a été volé, contenant de nombreux fichiers CSV.

La société spécialisée Hacked-DB a étudié les données ayant fuitées et a fait un rapport complet. Le dossier décompressé a une taille de 412 Mo et contient exactement 3 121 adresses mails accompagnées des mots de passe respectifs, utilisant un hashage MD5, largement défaillant depuis longtemps et facilement crackable. De plus, la société reporte la présence d’une multitude d’informations personnelles sur chaque personne de la base. L’attaque aurait été réalisée à l’aide du logiciel pirate SQLMap SQL Injection Automation Tool en exploitant une vulnérabilité permettant une injection SQL (SQLi).

Plus grave, les informations de l’athlète russe Yuliya Stepanova s’y trouve, alors que cette dernière a fait de graves révélations sur la Russie et qu’elle craint actuellement pour sa vie après un piratage la visant dans le but de la localiser précisément. En effet, la lanceuse d’alerte et son mari (un ancien contrôleur de l’agence russe antidopage) se cachent avec leur enfant quelques part aux Etats-Unis.

L’agence mondiale anti-dopage (WADA) indique que les mots de passe de Yuliya Stepanova dans le système d’administration ADAMS ont été obtenus de manière illégale, ce qui a permis à quelqu’un d’avoir accès à son compte… L’affaire s’annonce délicate donc.