Violation

Yann Gaudin (via Twitter)

🚨 Défaillances de la direction de France Travail en matière de sécurité informatique

La CGT de France Travail s’exprime sur la violation de données, dénonçant « un choix assumé de la Direction de la DSI de ne pas mettre en place les préconisations sécuritaires nécessaire sà l’ouverture de notre SI aux partenaires France Travail« , en ce compris Cap Emploi, à l’origine de la fuite de données. Elle ajoute que « Lors du projet de connexion du partenaire Cap emploi en 2022, une analyse de risque a bien été réalisée en interne. Dans ce rapport il a été identifié, entre autres, le risque suivant :  »Un attaquant usurpe l’identité d’un agent Cap Emploi et accède aux données du SI Pôle emploi via la machine virtuelle » avec un indice d’alerte 4 (maximum). Le rapport préconisait de « Renforcer l’authentification à la machine virtuelle avec un deuxième facteur d’authentification (2FA) conformément aux exigences de l’ANSSI, mais il n’a jamais été mise en place !!« .

Suite à la publication de cette lettre, Guillaume Champeau a annoncé sur Twitter (attention, lien traçé) avoir demandé, via le formulaire de plainte en ligne, à ce que des poursuites sur le fondement de l’article 226-17 du Code pénal soient lancées; cet article condamnant le défaut de sécurisation de données personnelles par cinq ans d’emprisonnement et 300 000 euros d’amende.

Image

Disponible sur: twitter.com (attention, lien traçé)

Daily dot

Une compagnie aérienne américaine divulgue accidentellement une « No Fly List » sur un serveur non sécurisé

Un serveur non sécurisé découvert la semaine dernière par un chercheur en sécurité contenait les identités de centaines de milliers de personnes figurant dans la base de données du gouvernement américain sur le dépistage du terrorisme et la liste des personnes interdites de vol. Localisé par le pirate informatique suisse, le serveur géré par la compagnie aérienne nationale américaine CommuteAir, a été laissé exposé sur l’internet public. Il a révélé une grande quantité de données sur l’entreprise, y compris des informations privées sur près de 1 000 employés de la compagnie aérienne CommuteAir.

Pire : l’analyse du serveur a permis de découvrir un fichier texte intitulé « NoFly.csv », faisant référence à un groupe de personnes figurant dans la base de données sur le contrôle des activités terroristes et interdites de vol en raison de liens présumés ou avérés avec des organisations terroristes. Cette liste contiendrait plus d’1 million d’entrées au total, et comporterait des noms, des dates de naissances, mais également des pseudonymes.

Disponible (en anglais) sur: dailydot.com
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Zataz

Un pirate affirme avoir récupéré les informations relatives à 200 millions de comptes X (Twitter).

Un pirate informatique a publié une nouvelle base de données qu’il affirme appartenir à Twitter\X. Selon les informations de ZATAZ, des millions de données ont été extraites via un accès non divulgué par le pirate, datant du 14 mars 2024. La base de données SQL mise en avant par le malveillant indique, par exemple, « 10.3.36-MariaDB » et compte 5 661 457 utilisateurs ! Le pirate a mentionné que l’accès découvert lui a permis d’extraire environ 200 millions de lignes, représentant quelque 500 Go d’informations. Quant à la véracité de cette base de données, ZATAZ se base sur trois éléments pour affirmer qu’elle pourrait être authentique.

[Ajout contextuel Portail RGPD: Au vu des données concernées (ID, pseudonyme, données métriques, géolocalisation, nombre de followers, … ), à savoir des données publiques, il est possible que cette base ait été constituée au moyen de scraping. ]

Disponible sur: zataz.com
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

L’Informé

Fuite de données personnelles sur Leboncoin

La semaine dernière, certains profils de vendeurs ont pu avoir accès aux informations personnelles d’acheteurs étant entré en contact avec eux : nom, prénom, adresse, numéro de téléphone. Ces informations apparaissaient sur la messagerie interne du site et de l’application, comme le montre l’exemple ci-dessous..

Le média l’Informé a contacté Leboncoin, qui a confirmé l’existence d’un « bug technique ».

Disponible sur: linforme.com (article payant).
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Retour en haut