Explication : comment les vulnérabilités du registre bank.in de la RBI ont exposé des données sensibles pendant 13 mois

Le chercheur indépendant Srikanth L a découvert plus de 33 points de terminaison non authentifiés sur le portail d'enregistrement de domaine '.bank.in' de la RBI, exposant les données sensibles de 5 576 employés de banque pendant au moins 13 mois. La fuite comprenait des hachages de mots de passe, des numéros de téléphone portable, des e-mails et des empreintes d'appareils. De plus, 1 072 comptes Super Admin orphelins ont été trouvés, et un fournisseur privé détenait un accès administrateur global. Le CERT-In a résolu le problème en 17 jours. Le portail a été créé sans appel d'offres public ni audit de sécurité.