Des scénarios représentatifs de failles couramment identifiées par SunuCyberSecurity, illustrant l'impact concret d'un audit régulier.
Dans le cadre d'une revue de sécurité périodique, une plateforme de paiement a demandé une cartographie de son exposition au-delà de sa seule infrastructure web — y compris les dépôts de code source publics mentionnant son nom.
15 fichiers publics sur GitHub mentionnant l'infrastructure de la plateforme, avec des noms typiques de fichiers sensibles (.env, credentials, clés AWS) — probablement laissés par des développeurs dans des dépôts publics ou des historiques de commits mal nettoyés.
Un secret réel exposé dans ces fichiers (clé API, identifiant de base de données, jeton cloud) donnerait à un attaquant un accès direct aux systèmes de production, sans même avoir besoin de sonder l'infrastructure web — une voie d'entrée invisible pour les outils qui ne surveillent que le périmètre réseau.
Chaque fichier a été passé en revue manuellement par l'équipe sécurité pour confirmer ou écarter un risque réel, et les dépôts concernés ont été audités pour purger tout secret encore valide.
Avant une due diligence technique d'investisseurs, une startup fintech a lancé un audit complet de son infrastructure avec SunuCampaign Orchestrator.
L'outil a découvert 4 sous-domaines actifs non documentés, dont un exposait l'adresse IP réelle du serveur derrière le CDN, contournant ainsi la protection WAF.
Cette IP exposée aurait permis à un attaquant de scanner directement l'infrastructure sans passer par les protections de sécurité mises en place.
L'équipe technique a masqué l'IP et fermé les sous-domaines inutilisés avant la due diligence, renforçant la confiance des investisseurs sur la maturité sécurité du produit.
Dans le cadre d'une mise en conformité BCEAO, une institution financière a soumis son portail client à un test d'intrusion approfondi.
Une vulnérabilité Log4Shell (CVE-2021-44228) sur un composant Java obsolète du portail, l'une des failles les plus critiques identifiées ces dernières années.
Cette vulnérabilité aurait permis une exécution de code à distance, ouvrant la voie à un accès complet aux systèmes internes de la banque.
Le composant a été mis à jour en urgence. L'établissement a pu présenter un rapport de conformité complet à son régulateur, avec preuve de remédiation.
Un acteur du paiement mobile pensait connaître l'étendue de sa surface d'attaque après un audit réalisé avec un outil concurrent, qui n'avait recensé que 2 sous-domaines actifs. La même cible a été soumise à SunuRecon-OSINT pour comparaison.
19 sous-domaines actifs identifiés — près de 10 fois plus que l'outil concurrent — dont plusieurs environnements non documentés, oubliés par l'équipe technique elle-même.
Chaque sous-domaine ignoré est une porte non surveillée : environnement de test abandonné, panneau d'administration mal protégé, service mal configuré. Impossible de sécuriser ce dont on ignore l'existence.
Le client a immédiatement reconnu l'ampleur de l'écart et dispose désormais d'une cartographie complète et fiable de sa surface d'attaque réelle, base indispensable pour prioriser sa sécurisation.
Dans le cadre d'une campagne de sécurité combinée (OSINT, réseau et web), une banque régionale a fait auditer l'ensemble de son infrastructure exposée à Internet, au-delà du seul portail web.
Une base de données MySQL directement accessible depuis Internet sur l'un des sous-domaines, version logicielle comprise — alors que des ports similaires sur d'autres sous-domaines de la même banque étaient, eux, correctement protégés par un contrôle d'accès, rendant cette exception d'autant plus facile à manquer sans audit systématique.
Un attaquant découvrant ce port aurait pu tenter de s'y connecter directement, contournant entièrement le pare-feu applicatif et les protections du portail web pour accéder potentiellement aux données financières et clients stockées dans la base.
La faille a été remontée en priorité absolue à l'équipe technique, qui en a confirmé la gravité et engagé la correction sans délai.