Changer ou résilier n’importe quelle ligne Sosh juste avec un numéro #FAIL
Tout d'abord, nous allons donc utiliser le chat pour vous montrer la faille.
Ce qu’il y a de bien avec Internet, c’est la facilité avec laquelle vous pouvez faire des choses qui auparavant vous aurez pris plus d’une heure en boutique, aujourd’hui je vais vous parler d’une faille de sécurité chez Sosh qui permet à n’importe qui de pouvoir changer le forfait Orange ou Sosh d’une personne au hasard.
Pour s’y connecter, il faut renseigner plusieurs champs, dans notre cas nous allons mettre le nom d’une personne déjà cliente chez Sosh, une fausse adresse email, et le bon numéro de téléphone de cette personne.
Je laisse la conversation telle quelle pour vous montrer, qu’à aucun moment, mon identité est vérifiée, j’ai accès au contenu du forfait téléphonique et ils m’ont même proposé de modifier mon adresse email par celle que j’avais renseigné.
(sont compris comme des numéros spéciaux, les numéros à 10 chiffres commençant par 08, les numéros à 4 chiffres commençant par 3 et par 10, les numéros de radiomessagerie ainsi que les numéros d’accès à des services de renseignement commençant par 118)
+SMS / MMS Illimités vers tous les numéros de mobiles en France métropolitaine hors SMS/MMS surtaxés et n° courts. Jusqu’à 250 correspondants différents par mois
+ des SMS en illimité depuis l’Europe (Hors la France) et les DOM vers l’Europe (France incluse) et les DOM
+ 2 Go d’internet avec débit réduit au-delà pour l’accès à internet, voix sur IP et usage modem inclus.
———————-
Bref, que pouvons nous en tirer ? Ici j’ai eu la possibilité de changer le forfait de manière immédiate SANS contrôle. J’ai aussi eu la possibilité de modifier l’adresse e-mail du compte et donc de recevoir les factures me permettant de résilier par la suite le forfait puisque seul me sera demandé le numéro de compte.
Un peu de social engineering (en se basant pourquoi pas sur les fans de la page Facebook de Sosh ?) et voilà vous pouvez facilement modifier le contrat de quelqu’un. Je suis tombé par hasard dessus quand j’ai fait passé le numéro de mobile avec mon propre nom (facturé au nom de ma mère) d’Orange Open vers Sosh, et j’ai actuellement quelques problèmes (ligne supprimée) car Orange affirme que c’est ma mère qui a fait le changement, mais le log de chat devrait pourtant montrer mon nom et prénom…
EDIT : Les équipes Sosh ont procédé au correctif