zdnet - 06 Mai 2014
par Antoine Duvauchelle |
Sécurité : Encore des p'tits trous sur le site d'Orange. La base de données clients de l'opérateur a été piratée, et les informations personnelles s'égayent dans la nature.
"Le 18 avril, Orange a constaté un accès illégitime sur une plateforme technique d'envoi de courriers électroniques et de SMS qu'elle utilise pour ses campagnes commerciales. Cet accès a entraîné la copie d'un nombre limité de données personnelles concernant des clients et des prospects."
Même si vous n'êtes pas client d'Orange, pour peu que l'opérateur vous ait dans sa base de prospection, vous êtes donc potentiellement concerné par cette fuite annoncée sur le site d'assistance ce matin. La faille n'est pas neuve. Elle date du 18 avril... Ce qui en fait la deuxième d'importance en moins de trois mois.
Et de deux en trois mois
Si Orange communique ouvertement - ce qu'il est obligé de faire, on ne connait pas l'ampleur du vol. Combien de clients et prospects touchés ? Aucune idée, mais l'opérateur précise que "l'ensemble des personnes concernées" ont été informées du risque potentiel pour leurs données privées.
Parmi ces dernières, on trouve le nom et prénom ainsi que, "si ces informations ont été renseignées", l'adresse email de contact, les numéros de téléphone mobile et fixe, les opérateurs mobile et fixe ainsi que la date de naissance. Gare aux mails, appels et SMS de phishing ces prochains temps, donc.
Orange souligne avoir "informé l'ensemble des personnes concernées de l'existence et de la résolution de ce fait" et mis en œuvre les "actions nécessaires afin de corriger les dysfonctionnements techniques et empêcher tout nouvel accès illégitime à ces données".
Sans connaissance de la portée des comptes compromis, c'est surtout la répétition qui interpelle. C'est la deuxième faille en peu de temps, alors qu'à la mi-janvier, "moins de 3%" des clients d'Orange avaient été touchés par un vol de données (soit 800.000 clients tout de même), peu ou prou les mêmes que celles dérobées en avril.
Deux intrusions qui font tâche sur le tableau sécurité de l'opérateur, qui promettait en novembre dernier un renforcement des protections (via une charte) et de la transparence sur les données personnelles.
Suite à ces incidents, la Cnil s'est saisie du dossier afin de rappeler les contraintes qui pèsent sur les opérateurs. La Commission nationale informatique et libertés a donc convoqué Orange, mais aussi "les principaux opérateurs", le 3 février dernier.
En effet, ces derniers doivent notifier à la Cnil "toute violation de données personnelles et, le cas échéant, d'informer les personnes concernées de l'existence de la violation." via une téléprocédure sécurisée. On ne sait pas encore si ce dernier détournement de données (comme le premier) a déjà donné lieu à une communication de ce type.
La Cnil estime néanmoins que "ces dispositions sont mal respectées". L'institution en a donc profité pour "expliquer concrètement ce qu'elle attend des opérateurs en cas de violations et présenter les pouvoirs de contrôle et de sanction dont elle dispose".
Les opérateurs sont donc prévenus car il apparaît bien que certains ne jouent pas le jeu.
(http://www.zdnet.fr/actualites/nouveau-vol-de-donnees-personnelles-pour-les-clients-orange-39800783.htm)
Portail 