Reçu un e-mail ?
Vous avez reçu un e-mail de notre part
Nous avons trouvé un problème de sécurité affectant un système enregistré au nom de votre organisation, et nous vous avons contacté à ce sujet. Cette page explique qui nous sommes, comment vérifier que le message est authentique, et ce que vous pouvez faire maintenant.
Nous ne vous demanderons jamais de paiement, d’identifiants ni d’accès à vos systèmes. Si un message prétendant venir de nous demande l’une de ces choses, il ne vient pas de nous.
Comment vérifier que l’e-mail est authentique
Nos signalements proviennent d’une adresse se terminant par @csirt.global. Ce peut être
inquiries@csirt.global, une adresse de cas telle que CG-2024-00001@csirt.global, ou l’adresse
CSIRT.global personnelle de la personne qui traite le dossier.
Vérifiez attentivement le domaine de l’expéditeur. Méfiez-vous des graphies voisines comme
csirt-global.com ou cslrt.global. Si le domaine n’est pas exactement csirt.global, considérez
le message comme suspect.
Chaque cas que nous ouvrons est publié dans notre registre des cas, avec la date, la vulnérabilité et les chercheurs concernés. Si notre e-mail mentionne un numéro de cas, vous pouvez l’y retrouver.
Vous pouvez aussi nous contacter directement, en utilisant une adresse trouvée ici plutôt qu’une adresse tirée de l’e-mail : inquiries@csirt.global.
Ce que nous avons fait
Nous parcourons l’internet public à la recherche de systèmes affectés par des vulnérabilités connues et d’identifiants exposés dans des emplacements accessibles à tous. Lorsque nous en trouvons, nous identifions le propriétaire et prenons contact.
Nous n’avons pas accédé à vos données, ni exploité la vulnérabilité, ni modifié quoi que ce soit sur vos systèmes. Là où il fallait confirmer une découverte, nous l’avons fait avec le minimum d’interaction et sans code d’attaque. Notre Code de conduite fixe les limites dans lesquelles nous travaillons, et elles nous engagent.
Nous agissons ainsi parce que les vulnérabilités non signalées finissent par être découvertes, le plus souvent par quelqu’un aux intentions moins bonnes. Nous sommes une fondation à but non lucratif animée par des bénévoles. Personne ne nous paie pour vous contacter, et nous ne vendons rien.
Ce que vous pouvez faire maintenant
- Vérifiez l’expéditeur, avec les étapes ci-dessus.
- Lisez la découverte. L’e-mail décrit le système concerné et le problème précis.
- Corrigez ou limitez le risque. Lorsqu’un correctif ou un contournement existe, nous l’indiquons.
- Répondez si nécessaire. Si quelque chose n’est pas clair, si vous n’êtes pas le bon interlocuteur, ou si vous souhaitez de l’aide, dites-le-nous. Une réponse confirme aussi que le message a atteint la bonne personne.
La correction relève de votre responsabilité et reste sous votre contrôle. Nous signalons ; nous n’intervenons pas.
Si vous souhaitez que nous continuions à surveiller
Certaines organisations nous demandent de les scanner régulièrement, plutôt que d’attendre que nous trouvions quelque chose. Les associations et les ONG peuvent aussi être proposées pour un programme de bug bounty entièrement financé. Les deux sont gratuits.