Accès non autorisé aux données de la FIA : un test révélateur

La FIA a récemment confirmé qu’un groupe de hackers a eu un accès temporaire à certaines données de son portail de licences pour pilotes, touchant notamment les informations personnelles de Max Verstappen. Cette faille de sécurité a été neutralisée en collaboration avec les hackers eux-mêmes.

Ce fait remonte à l’été dernier, lorsque trois passionnés de Formule 1, nommés Gal Nagli, Sam Curry et Ian Carroll, ont pénétré dans le “Portail de catégorisation des pilotes”. Bien que cet accès ait eu lieu il y a plusieurs mois, ces hackers ont choisi de le révéler seulement cette semaine sur les réseaux sociaux.

La bande de hackers a souligné qu’ils n’avaient aucune intention malveillante. Leur objectif était de mettre en lumière les vulnérabilités de l’infrastructure informatique de la FIA, dans le but d’améliorer la sécurité de l’ensemble du système.

Aperçu du système de classification des pilotes

Le secteur concerné est celui qui gère les classifications des pilotes par la FIA. Tandis que les pilotes de Formule 1 nécessitent une Super licence, d’autres catégories de sports automobiles, notamment dans l’endurance, dépendent de classements Gold, Silver ou Bronze.

À travers ce portail, la FIA administre ces classifications, et les pilotes peuvent y soumettre des demandes de changement de statut, par exemple, pour passer de Gold à Silver lorsque cela est requis dans certaines compétitions.

Accès privilégié grâce à une manipulation

Pour accéder aux données, les hackers ont d’abord créé un profil sur le portail de la FIA et, à l’aide de Javascript, ils ont pu modifier leur rôle utilisateur. Le système faisait la distinction entre pilotes, employés de la FIA et administrateurs, ces derniers ayant le plus haut niveau de droits.

Par une requête spécifique, ils ont réussi à élever leurs droits d’accès au niveau administrateur. À leur reconnexion, ils ont pu visualiser une interface totalement différente, incluant le tableau de bord interne dédié à la classification des pilotes.

Pour vérifier leur accès, ils ont chargé le profil d’un pilote et ont pu consulter des informations telles que le mot de passe, l’adresse e-mail, le numéro de téléphone et même des données de passeport, de même que la communication interne entre la FIA et le pilote concerné.

Ils n’ont cependant pas exploité les données, ayant pris soin d’arrêter leurs tests avant d’extraire des informations sensibles. Néanmoins, ils ont remarqué que les données de passeport de Max Verstappen étaient accessibles.

Réaction rapide de la FIA

Dès que la vulnérabilité a été détectée le 3 juin, les hackers ont informé la FIA qui a rapidement désactivé le site et collaboré avec eux pour trouver une solution pérenne. Le 10 juin, la FIA a confirmé que la faille était corrigée.

Un porte-parole de la FIA a déclaré à Motorsport.com depuis le Mexique : “La FIA a été alertée sur un incident cybernétique lié au site de classification des pilotes. Des mesures ont été prises immédiatement pour sécuriser les données des pilotes.”

Il a également précisé que l’incident avait été signalé aux autorités en charge de la protection des données et que les rares pilotes concernés avaient été avertis. D’autres plateformes numériques de la FIA n’ont pas été affectées.

La FIA a investi de manière significative dans des mesures de cybersécurité, assurant ainsi que des précautions modernes soient mises en œuvre pour protéger toutes les parties prenantes, tout en adoptant une approche de “sécurité dès la conception” pour ses nouveaux projets numériques.

Points à retenir

• Trois hackers ont accédé temporairement à des données sensibles via le portail de la FIA.
• Leur intention était de dévoiler des failles de sécurité, sans visée malveillante.
• Les pilotes de tous niveaux peuvent voir leur classification gérée sur ce portail.
• Une manipulation de leur rôle utilisateur a permis aux hackers d’accéder à des données internes.
• La FIA a réagi rapidement pour corriger la faille et sécuriser les données.

Ce type d’incident nous rappelle à quel point il est crucial d’accorder une attention particulière à la cybersécurité, même dans le monde du sport automobile. Il est essentiel non seulement pour protéger les athlètes, mais aussi pour maintenir la confiance du public dans les systèmes qui régissent leurs passions. Comment la FIA et d’autres organisations sportives pourront-elles renforcer leur sécurité à l’avenir ? C’est un débat qui mérite d’être abordé sérieusement.