Pas question de publier un communiqué sur cette affaire. "Vous êtes les seuls à avoir posé cette question. Nous y répondons. Rien de plus. Nous faisons un communiqué lorsque nous sortons un nouveau produit", explique Amy Shapiro, "Director of Global Communications" de Doubleclick. En somme, tout va bien. On s’interroge simplement sur le besoin éventuel de sécuriser "le site". Visiblement, Doubleclick ne semble pas inquiète.

Attitude intrigante

Pourtant, tout près de doubleclick.net, sur la même classe d’adresses (lire encadré), il y a des serveurs qui peuvent être piratés en un clin d’œil. Sachant que Doubleclick est sans doute l’entreprise qui collecte le plus d’informations personnelles sur les internautes et les stocke dans des bases de données (lire encadré), on pourrait s’attendre à un peu plus d’empressement pour réparer les failles découvertes par d’autres. Il est étonnant de constater que les serveurs de Doubleclick présentent des bugs vieux de respectivement deux ans, un an et cinq mois. Comme si personne dans cette entreprise ne prenait soin d’appliquer les correctifs émis par Microsoft. Une attitude qui intrigue – et le mot est faible – tous les experts en sécurité informatique contactés par Transfert. Dès lors, comment croire sur parole Doubleclick, alors que l’entreprise explique disposer d’un environnement tout à fait sécurisé et que les serveurs publics sont "purement corporate", déconnectés de "l’environnement de production".

Prenons un exemple simple : le serveur abacusonline.doubleclick.net permet à ses abonnés d’interroger la base de données Abacus qui fiche les consommateurs américains. Un défaut non corrigé du serveur permet de voir le login et le mot de passe de connexion à la base de données gérant ceux des clients d’Abacus. Bilan des courses, il est probable qu’un vilain pirate puisse rapatrier cette base de données. Il saura alors quels sont les clients d’Abacus. Et pourra interroger la base à leur place. C’est peut-être "déconnecté de l’environnement de production", mais ça marche pas mal quand même dans le genre piratage…

Méchant petit script

Par ailleurs, il est possible de faire monter sur plusieurs serveurs de DoubleClick des logiciels permettant de récolter les logins et mots de passe des autres machines qui s’y connectent. Sachant qu’il y a, toujours sur la même classe d’adresses, des serveurs capables de gérer à distance une campagne de pub, peut-on totalement exclure un piratage de celles-ci ? Et, bien entendu, l’accès à des informations confidentielles ? DoubleClick a beau jeu de dire aujourd’hui qu’il ne se passe rien sur ses serveurs et que rien ne peut être fait à distance. À défaut de se mettre dans l’illégalité, il est effectivement impossible de prouver le contraire. Pourtant, il suffirait de lancer un petit script public diffusé par un expert en sécurité informatique (Roelof Temmingh) pour démontrer la faillibilité des serveurs de DoubleClick…