Les banques et sociétés de crédit immobilier britanniques vues par une analyse externe

Ce que nous avons relevé

C'est un parc solide au regard de ce que nous mesurons, et la liste des constats graves est courte. Des mots de passe de salariés volés circulent pour 22 des 148 organisations étudiées, 147 enregistrements au total, soit environ sept pour une organisation touchée type. L'exposition est étroite plutôt que profonde, et chaque organisation peut réinitialiser ces identifiants dès aujourd'hui.

Vingt-sept organisations ne peuvent pas demander aux systèmes de messagerie destinataires de rejeter les e-mails falsifiés en leur nom. Pour une banque ou une société de crédit immobilier, cela compte davantage que le chiffre ne le laisse penser, car un message falsifié concernant le propre compte d'une personne est vite suivi d'effet, souvent par ceux qui sont le moins à même d'absorber une perte.

Quatre organisations ont un port de base de données accessible depuis l'Internet public sur une adresse qui leur est propre, parmi six présentant un port à risque accessible. Six autres présentent les mêmes ports uniquement sur des adresses partagées avec des organisations sans lien, et nous les présentons séparément, car seul le fournisseur peut les fermer. Une organisation est citée sur un site de fuite de rançongiciel, ce qui constitue la revendication d'un groupe criminel et doit être rapproché de la bonne entité et de la bonne date avant d'en tirer une conclusion.

Cinq organisations utilisent un logiciel dont le numéro de version laisse supposer une faiblesse répertoriée. Nous avons vérifié chacune d'elles au regard de la liste publique des faiblesses que des criminels sont connus pour exploiter, et aucune n'y figure.

Comment lire les scores

115 sites web ont un score exact, avec une moyenne de 77,0. 33 ont un score plancher, parce qu'ils ont refusé un visiteur automatisé, ce qui est un contrôle de sécurité qui fonctionne plutôt qu'un défaut. En comptant ces derniers à leur valeur plancher, la moyenne sur les 148 est de 73,9. Les banques obtiennent en moyenne 76,4 et les sociétés de crédit immobilier 78,4 en scores exacts. Les listes diffèrent par leur taille et leur composition : cet écart n'est donc pas un classement. Quatre sites web n'ont produit aucun score exploitable et sont exclus.

Ce que c'est, et ce que ce n'est pas

Nous avons examiné chaque site web de l'extérieur, comme n'importe quel client pourrait le faire. Nous ne nous sommes connectés nulle part, n'avons essayé aucun mot de passe et n'avons rien exploité. Rien ici ne signifie qu'une organisation a été piratée, rien ici n'est un jugement de conformité, et le rapport ne nomme aucune organisation. Tout ce qui se passe à l'intérieur de ces organisations, de la surveillance de la fraude à la réponse aux incidents, est invisible de l'extérieur et n'est pas évalué.

Par où commencer

Réinitialisez et protégez tous les identifiants de salariés trouvés dans des collections criminelles, avec l'authentification multifacteur. Publiez une politique de messagerie qui rejette les e-mails falsifiés ou les classe en indésirables. Fermez ou restreignez tout port de base de données ou d'accès à distance accessible depuis Internet sur votre propre adresse.