PEBKAC #8524

J'ai reçu il y a peu un courrier postal de la CAF. Ce document mentionne gaillardement mon numéro d'allocataire, ainsi que mon code confidentiel… Deux informations qui permettent d'accéder à mon espace personnel, où je peux, entre autre, changer le numéro du compte bancaire sur lequel sont versées les allocations. Niveau sécurité, c'est très moyen.

On pourrait me dire que la connexion nécessite deux autres informations : le code postal et la date de naissance. Seulement, avec Internet et les réseaux sociaux, trouver ce genre d'informations peut se révéler très facile.

Entre ça et la légèreté du code « confidentiel » (4 chiffres…), je décerne aux personnes ayant mis en place cette usine à gaz un gros PEBKAC.

PEBKAC #8524 proposé par Vertical le 07/09/2013 | 23 commentaires | 👍🏽 👎🏽 +185

Je suis pas si sur que trouver la date de naissance soit si facile que ça...

Commentaire #109854 écrit par Link le 07/09/2013 à 17h53 | 👍🏽 👎🏽

et le mot de passe est modifiable si je me rappelle bien.

Les banques font de même : ils te donnent tes identifiants de connexion par courrier et t'invitent a changer le mot de passe a la première connexion.

sinon, dit moi comment tu voudrai qu'ils te fassent parvenir ton mot de passe la première fois?

Commentaire #109857 écrit par Nejaa Halcyon le 07/09/2013 à 18h12 | 👍🏽 👎🏽

Déjà en envoyant 2 courriers distincts (l'un avec l'identifiant, l'autre avec le mot de passe), ça diminue un peu les risques.

Par contre, je suis étonné qu'on puisse changer le compte bancaire directement en ligne. Il n'y a encore pas longtemps, les modifications "en ligne" consistaient soit à remplir un PDF (à envoyer par voie postale ensuite), soit on recevait par voie postale un formulaire pour confirmer (donc à remplir à nouveau et renvoyer...) Mais bon, depuis que je n'ai droit à rien, j'ai laissé tomber le bourbier administratif qu'est la CAF.

Commentaire #109860 écrit par Grum le 07/09/2013 à 18h48 | 👍🏽 👎🏽

Entre un courrier postal, un mail ou un coup de téléphone, je trouve encore le courrier postal protégé par le secret de la correspondance le plus sûr.
Et surtout, SURTOUT, je préfère ça à devoir me taper une queue de deux heures à la CAF.

Commentaire #109861 écrit par Liquid Brain le 07/09/2013 à 18h49 | 👍🏽 👎🏽

Le RIB doit être au nom de l'allocataire, sinon une procédure papier est nécessaire avec vérification d'identité.

Commentaire #109864 écrit par Ohoho le 07/09/2013 à 19h01 | 👍🏽 👎🏽

T'as essayé de rentrer plusieurs code erronés ? personnellement non, mais si ça a été fait correctement (et déjà toutes les communications de mot de passe se font pas courrier, c'est quand même rare...), le nombre d'essais est limités, donc... le brute force, bof...

Commentaire #109868 écrit par Araldwenn le 07/09/2013 à 19h10 | 👍🏽 👎🏽

Si si, quand même.
Regarde, prenons quelqu'un au hasard que je ne connais pas personnellement. Mmmh... allez, Clem ! Clem est né le 7/09/1983. Tu vois, ça se trouve facilement une date de naissance.

Commentaire #109878 écrit par Siggy le 07/09/2013 à 20h15 | 👍🏽 👎🏽

moi, ma conseillère me convoque, reset le mot de passe, et me le donne sur un post it.
c'est plus safe je trouve.
par contre, uniquement alphanumérique le pwd, pas droit aux caractère spéciaux.

Commentaire #109881 écrit par root le 07/09/2013 à 20h41 | 👍🏽 👎🏽

Si tu mets toutes les infos qu'on peut vouloir trouver sur toi sur des réseaux sociaux, celui qui a fait le site n'y peut pas grand chose. CTLP

Commentaire #109882 écrit par Anonyme le 07/09/2013 à 20h53 | 👍🏽 👎🏽

et es-ce-que tu as le code postal de Clem?

Commentaire #109883 écrit par DjYoshi le 07/09/2013 à 21h01 | 👍🏽 👎🏽

Oui. Même son adresse et l'étage de son appartement.

Commentaire #109884 écrit par Link le 07/09/2013 à 21h07 | 👍🏽 👎🏽

@Yoshi : simple. Cherche le paillasson avec le kikoo mort dessus.

Commentaire #109886 écrit par Siggy le 07/09/2013 à 21h12 | 👍🏽 👎🏽

Le code postal, pas besoin de regarder sur les réseaux sociaux, il est écrit sur l'envellope.. -__-

Commentaire #109896 écrit par MrNumer0 le 07/09/2013 à 23h21 | 👍🏽 👎🏽

Et si l'on considère que ce qui reste est codé sur quatre chiffres décimaux, le nombre d'essais maximal est de 10^4, ce n'est plus du brute-force, c'est maman dans maman...

PS : Pour corriger ma typo défaillante, je me suis mis à utiliser un vrai correcteur, du coup mes tournures risquent de devenir plus académiques. Je ne me mets pas à vouloir être plus Grammar que le Grammar Nazi.

Commentaire #109905 écrit par ygnobl le 08/09/2013 à 04h22 | 👍🏽 👎🏽

Le secret de la correspondance... Roflcopter... ^^''

Commentaire #109921 écrit par Mina le 08/09/2013 à 09h47 | 👍🏽 👎🏽

Surtout, le code postal est aussi dans le courrier. Vu que l'adresse y figure.

Commentaire #109962 écrit par N. le 08/09/2013 à 16h44 | 👍🏽 👎🏽

ça me rappel le site de l'assurance maladie... c'est le même principe : j'ai reçu un courrier avec mon code et mon numéro de sécu était notifié dessus, sachant que ce numéro est l'identifiant... mais le mieux à été lors du changement de mot de passe : uniquement 6 caractères et aucune lettre autorisé.

Commentaire #110021 écrit par Milo le 09/09/2013 à 10h57 | 👍🏽 👎🏽

Dire que quand j'ai paumé mon mot de passe il leur a fallu 4 mois pour me le renvoyer...

Commentaire #110424 écrit par Guanfei le 11/09/2013 à 00h09 | 👍🏽 👎🏽

Il y a deux ans, suite à un changement de statut, la CAF bien entendu bloqué mes droits/versements/etc., mais aussi mon compte en ligne, pour lequel mon mot de passe ne marchait plus (sans possibilité d'erreur de frappe, il est enregistré dans mon navigateur). J'ai du faire une procédure de changement ou récupération de mot de passe, et ils m'ont renvoyé un courrier, un bon moment après, avec le même mot de passe, qui fonctionnait de nouveau.

Dans le même genre, ils ont associé le RIB de mon conjoint à mon nom complet. Je n'arrive pas à leur faire comprendre.

Commentaire #110500 écrit par Séli le 11/09/2013 à 11h32 | 👍🏽 👎🏽

Le nombre d'essais est effectivement limité, mais en cas d'échec l'accès à ton compte est "bloqué"pour une certaine durée. De quoi faire cher quelqu'un.

* Bon, après j'ai pas fait de test poussé pour savoir si c'est bien fait ou pas.

Commentaire #110599 écrit par Vertical le 11/09/2013 à 21h17 | 👍🏽 👎🏽

Hé oui, je suis d'accord avec toi. Ceci-dit, les gens mettent sur FB, G+... des infos à caractère parfois très confidentielles, alors des trucs aussi "négligeables" que lieu de résidence et date de naissance... Pfuuit ! Ça peut se trouver à profusion.
Et la nature de ces informations fait qu'on peut très facilement les trouver hors réseaux sociaux.

Par ailleurs, je te souhaite bonne chance pour ne serait-ce que me trouver sur les réseaux sociaux ;)

Commentaire #110601 écrit par Vertical le 11/09/2013 à 21h19 | 👍🏽 👎🏽

L'administration française dans toute sa splendeur :')

Commentaire #110602 écrit par Vertical le 11/09/2013 à 21h21 | 👍🏽 👎🏽

Markdown fail...

Commentaire #117977 écrit par Somadeva le 11/11/2013 à 19h31 | 👍🏽 👎🏽