Entreparticuliers.com a des fuites de Carte bleue

Des numéros de CB de clients ont circulé sur Internet. Les dirigeants de ce site d'immobilier continuent à nier toute faille.

Jusqu'à lundi, les coordonnées bancaires de clients d'Entreparticuliers.com, un site d'annonces se présentant comme le « premier site immobilier des particuliers », étaient accessibles sur Internet. Alors que les policiers de la Brigade d'enquêtes sur les fraudes aux technologies de l'information (BEFTI) ont été saisis par le parquet de Nanterre, la direction du site nie toute faille informatique.

En tâtonnant sur le site et en injectant une requête SQL [1], un pirate informatique a pu accéder à des dizaines de numéros de cartes bancaires de clients d'Entreparticuliers.com [2], avec date d'expiration, cryptogramme de sécurité et, bien sûr, nom du propriétaire. Le lien hypertexte nanti de la requête SQL a ensuite circulé sur Internet. Denise R., José M., Michèle G., Jean-Marie W. et plus d'une centaine d'autres clients, qui ont mis un bien immobilier en vente sur le site, peuvent s'inquiéter pour leur compte en banque.

Quarante-huit heures après le début de l'enquête de police, le parquet de Nanterre n'est pas en mesure de se prononcer sur ses premières orientations. Selon les recherches menées par Rue89, le problème rencontré par le site d'annonces ne pourrait avoir que deux explications : soit une faille dans le système de sécurité, soit une malveillance interne ayant conduit à la publication des données sur une partie ajoutée au site pour l'occasion.

Quatre tentatives de fraude sur une carte

D'après des clients concernés, les données qui étaient disponibles jusqu'à lundi sur le Web sont authentiques et correspondent à des cartes délivrées par des banques en France, aux Etats-Unis, en Suisse et en Géorgie, notamment. Ainsi, un des clients a passé une annonce sur le site le 8 février, en utilisant une e-Carte bleue [3]. Moins de quinze jours plus tard, ses coordonnées bancaires ont été utilisées pour quatre tentatives de fraude, sur deux sites de vente de produits hi-tech différents. En vain, puisque cette e-Carte bleue était à usage unique.

Sur Internet, plusieurs blogueurs ont fait état de la publication de ces données, qu'ils
ont qualifiée de « faille ». Le PDG d'Entreparticuliers.com, Stéphane Romanyszyn, récuse totalement ce terme et affirme que ses données clients sont totalement sécurisées. Alors que des blogueurs publient [4] des captures d'écran témoignant de la « faille », la direction du site réagit.

Vendredi 4 avril, elle publie un communiqué [10] annonçant pour lundi le dépôt d'une plainte pour « faux et usages de faux, atteinte volontaire aux données d'un système informatisé, complicité et association de malfaiteurs informatiques » :

« La campagne de dénigrement, relayée et entretenue actuellement sur le Web par des internautes malveillants, au travers de prétendues captures d'écran, se fonde sur la production de faux grossiers et sur la communication de fausses informations gravement mensongères.

“La diffusion de ces fausses informations, dans un objectif délibéré de déstabilisation commerciale de la société, laisse croire qu'Entreparticuliers.com dévoilerait les données bancaires de ses clients et serait défaillante quant à la capacité d'en assurer la protection et la confidentialité.

Entreparticuliers.com rappelle que les flux de données échangés sur son site Internet lors de transactions commerciales sont confidentiels et protégés, le système d'information du site www.entreparticuliers.com [11] étant parfaitement sécurisé, conformément à la norme.”

L'entreprise rappelle aussi quel est son modèle économique : “Le paiement de l'annonce déposée par le vendeur du bien et un accès gratuit pour les acheteurs potentiels.” Le communiqué se termine sur ce rappel : “Entreparticuliers.com est coté sur Alternext de NYSE Eeuronext depuis février 2007.”

La société nie la faille, le cours en Bourse remonte

Lundi, ce communiqué a été repris sans broncher par des dizaines de sites d'information financière [12]. Pour Entreparticuliers.com, le tour est joué : les investisseurs sont rassurés et le cours remonte de 1,5%. Depuis le 1er janvier, il a perdu 14,76%.

Joint par Rue89, Stéphane Romanyszyn nie avoir reconnu la faille auprès de 01net [13] et se réserve le droit de poursuivre le journaliste qui l'avait cité dans son article. Le PDG estime avoir “affaire à un complot” :

“Il ne s'agit pas d'une faille mais d'actes malveillants. On ne sait pas s'il y a eu une complicité interne. On dérange des concurrents en perdition, des intermédiaires immobiliers. Si quelqu'un voulait flinguer le cours en Bourse, il ne s'y prendrait pas autrement. Nous respectons le standard PCI-DSS [14], et conformément à l'évolution de cette norme, les données bancaires de nos clients, qui sont sur nos serveurs et pas en ligne, sont en cours de cryptage. En juin, elles seront stockées sur le serveur de la banque.”

Le site n'en est pas à ses premiers échanges d'amabilités avec la blogosphère : il y a tout juste un an, il avait obtenu le retrait d'un post contestant ses méthodes commerciales [15]. Des méthodes aussi contestées par l'UFC-Que Choisir [16] dans une enquête publiée début avril.