Les trois quarts des sites Web des banques américaines présentent des une conception mettant en danger la sécurité, selon l'université du Michigan. Comme pour toutes les recherches, les résultats de celle-ci ont pris du temps à émerger. Dans ce cas, les chercheurs ont examiné les sites web de 214 institutions financières depuis 2006.

Leur analyse est présentée dans un document intitulé "Analyzing Web sites for user-visible security design flaws." Les déficits de sécurité concernent les flux et la mise en page, et non des failles logicielles que l'on peut résoudre par des correctifs.

La moitié des sites examinés place des modules de connexion dans des pages non sécurisées, et un tiers des sites crée des situations non sécurisées en redirigeant les clients vers d'autres sites sans les en prévenir suffisamment, et sans que les clients puissent savoir si on peut faire confiance à ces nouveaux sites.

Autres soucis :

. L'utilisation de données sensibles (et simples à usurper) comme le numéro de sécurité sociale ou une adresse email personnelle en tant qu'identifiant (login) de l'internaute.

. L'absence de politique de sécurité qui impose des mots de passe suffisamment complexes.

. Le fait de placer des conseils sur la sécurité ou des coordonnées de contacts sur des pages qui peuvent être modifiées par des escrocs afin d'orienter les clients vers de faux représentants de la banque.

. La transmission par email d'informations sensibles.

. Enfin, le protocole SSL reste insuffisamment employé.

« A notre surprise, les failles de conception sont largement répandues, et concernent certaines des plus grandes banques, conclut Atul Prakash, professeur au département of Electrical Engineering and Computer Science. (l'étude est consultable ici)

Photo : Atul Prakash, professeur au département of Electrical Engineering and Computer Science, Université du Michigan

. Web-profils.com, la place de marché du conseil et de l'ingénierie