<!DOCTYPE html>
<html>
<head>
<meta http-equiv="content-type" content="text/html; charset=utf-8">
</head>
<body>
<p>Bonjour à tous</p>
<p>Le hasard a voulu que je tombe sur une alerte concernant une
éventuelle faille de sécurité détectée sur les sites de connexion
aux banques en ligne du groupe BPCE (Banque Populaire, Caisse
d'Épargne, Crédit Coopératif notamment).</p>
<p>Le point de départ est un post sur le réseau BlueSky diffusé par
l'association Lea Linux, à qui j'ai tendance à faire confiance ;
de là on récupère en cascade d'autres sites ou messages, je vous
mets ce qui me paraît le plus complet :<br>
<a class="moz-txt-link-freetext" href="https://bsky.app/profile/lea-linux.org">https://bsky.app/profile/lea-linux.org</a> (*)<br>
<a class="moz-txt-link-freetext" href="https://bsky.app/profile/aeris.eu.org">https://bsky.app/profile/aeris.eu.org</a><br>
<a class="moz-txt-link-freetext" href="https://undercodetesting.com/the-bpce-breach-how-a-single-javascript-infection-can-steal-your-banking-session/">https://undercodetesting.com/the-bpce-breach-how-a-single-javascript-infection-can-steal-your-banking-session/</a><br>
<a class="moz-txt-link-freetext" href="https://secuslice.com/2025/10/alerte-pages-connexion-compromises-bpce">https://secuslice.com/2025/10/alerte-pages-connexion-compromises-bpce</a><br>
</p>
<p>Ma question : je n'ai pas les compétences pour juger de la
pertinence des analyses faites (elles me paraissent solides, mais
si ça se trouve je me laisse impressionner pour rien) ; qu'en
pensez-vous ?<br>
Question subsidiaire 1 : pour les clients du groupe BPCE, peut-on
espérer que l'appli mobile est moins concernée par le problème ?<br>
Question subsidiaire 2 : un retrait de billets sur sur un
distributeur d'une banque du groupe BPCE peut-il poser problème ?</p>
<p>Bonne fin de journée<br>
François D.<br>
______________________________________<br>
(*) résumé fait par LeaLinux dans un message : « un malware js est
injecté sur les pages d'auth de la BPCE via un détournement d'une
vieille insertion js à l'époque probablement valide mais la BPCE a
oublié de virer une entrée DNS cname vers un loadbalancer AWS,
donc il suffisait de recréer un loadbalancer avec le même naming
et pouf, détournement »</p>
<div class="css-g5y9jx"
style="flex-direction: row; justify-content: space-between; align-items: center; padding-top: 2px; gap: 12px;">
<div class="css-g5y9jx"
style="flex-direction: row; flex: 1 1 0%; max-width: 320px;">
<div class="css-g5y9jx"
style="flex: 1 1 0%; align-items: flex-start; margin-left: -6px;"><br>
</div>
</div>
</div>
</body>
</html>