Mauvaise configuration de sécurité
Quand des systèmes, des frameworks ou des services cloud sont configurés de façon peu sûre — mots de passe par défaut laissés en place, fonctions inutiles activées, buckets de stockage ouverts, messages d'erreur trop bavards. L'une des causes de fuite les plus courantes et les plus évitables. Catégorie à part entière du Top 10 de l'OWASP.
Exemples fréquents : un bucket S3 rendu public (le grand classique de la fuite de données), des mots de passe ou comptes par défaut jamais changés, le mode debug ou des traces d'appels exposés en production (fuite d'informations internes), des ports, services ou fonctions inutiles actifs (surface d'attaque plus large), des en-têtes de sécurité manquants, ou des permissions cloud trop généreuses. Ce n'est pas un bug du code mais de la MANIÈRE dont les choses ont été mises en place. Pourquoi c'est si courant : les valeurs par défaut sont souvent peu sûres par commodité, les systèmes sont complexes et pleins de réglages, et « ça marche » passe avant « c'est durci ». Parades : des bases de référence durcies (golden images), le principe du moindre privilège, la revue automatisée de configuration (CSPM dans le cloud), la suppression de tout ce qui est inutile, et une revue régulière. Étroitement liée aux secrets dans le code et aux identifiants codés en dur ; voisine de la surface d'attaque.