Dernières actualités : données personnelles

L’Usine digitale

Cybersécurité : Boulanger victime d’une fuite de données, des millions de Français concernés

Un magasin Boulanger à Aubenas (Auvergne-Rhône-Alpes). Boulanger, société française spécialisée dans l’électronique grand public, a annoncé ce 9 septembre avoir été victime d’un “acte de cybermalveillance” dans la nuit de vendredi à samedi, impactant “une partie [des] informations clients”, a-t-elle expliqué dans un e-mail envoyé à ses clients. L’entreprise, détenue par la famille Mulliez, précise que les “données récupérées concernent uniquement les adresses de livraison”, et qu’aucune coordonnée bancaire n’a été exfiltrée. L’ampleur de cette violation de données pourrait toutefois être bien plus importante, avec la publication sur le dark web d’une base de données comprenant 27 millions de lignes d’informations.

Disponible sur: usine-digitale.fr

UODO (autorité polonaise)

Amende de 950 000 euros pour mBank pour n’avoir pas informé les victimes de la fuite de données

Ce 9 septembre 2024, l’autorité polonaise a infligé à mBank une amende de plus de 4 millions de PLN (4 053 173) [soit environ 950 000 euros] pour n’avoir pas informé les personnes touchées par la fuite de données.

L’autorité précise que la banque n’a pas respecté ses obligations [de notification] en vertu du RGPD après que les données personnelles d’un groupe de clients ont été transmises à un destinataire non autorisé le 30 juin 2022. Dans un tel cas, les personnes concernées doivent être informées de l’incident, les conséquences possibles et les remèdes doivent être décrits, et un contact pour le délégué à la protection des données qui pourrait fournir plus d’informations sur la violation doit être fourni.

En l’occurrence, un employé d’une société traitant des données à caractère personnel pour le compte d’une banque a commis une erreur et a envoyé des documents de clients à une autre institution financière. Les documents ont été renvoyés à la banque, mais l’enveloppe avait été ouverte auparavant. Par conséquent, des tiers ont pu avoir accès aux documents et il n’est pas exclu qu’ils en aient pris connaissance. Les documents contenaient : noms et prénoms, noms des parents, dates de naissance, numéro de compte bancaire, adresse de résidence ou de domicile, numéro PESEL, données sur les revenus et/ou les biens détenus, nom de famille de la mère, série et numéro de la carte d’identité, autres (informations sur les crédits et les biens immobiliers).

La banque n’a pas informé ses clients de l’incident, malgré les recommandations du président de l’UODO. La banque a justifié son silence en affirmant que les documents avaient été envoyés par erreur à une institution soumise au secret bancaire, avec laquelle elle coopère et qu’elle considérait donc comme une entité de confiance. Le président de l’UODO n’a pas reconnu la position de la mBank : une analyse approfondie des lignes directrices 9/2022 montre clairement que ce n’est pas le statut du destinataire, la reconnaissance du destinataire en tant que soi-disant institution (personne) de confiance publique ou agissant dans le cadre de la législation applicable, mais l’existence d’une relation directe (permanente) entre l’expéditeur et le destinataire de la correspondance envoyée par erreur qui détermine l’admissibilité de la reconnaissance d’une entité particulière en tant que soi-disant « destinataire de confiance ».

Le président de l’autorité de protection des données a estimé que la possibilité de divulgation d’un tel volume de données crée un risque énorme pour les personnes concernées. Comme elles n’ont pas été informées du problème, elles n’ont pas pu contrer les éventuels effets négatifs de la violation. En conséquence, l’autorité a décidé de prononcer une amende contre la banque, précisant par ailleurs que  » compte tenu du fait qu’en vertu des dispositions du RODO, l’amende pourrait s’élever à 337 millions de PLN [environ 78 millions d’euros], elle devrait être considérée comme relativement modérée »

Disponible (en polonais) sur: uodo.gov.pl
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

L’Usine digitale

Cybersécurité : l’université Paris-Saclay touchée par un ransomware

L’université Paris-Saclay a annoncé le 12 août avoir subi un incident de sécurité dans ses systèmes. “Une cyberattaque par rançongiciel a touché l’Université Paris-Saclay le 11 août, écrit-elle dans un message publié sur X (ex-Twitter). L’Université est accompagnée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) pour traiter cet incident.” A ce stade, aucune information n’a été donnée quant aux systèmes impactés ou à la nature des données personnelles subtilisées.

Disponible sur: usine-digitale.fr

L’Usine digitale

L’AP-HP victime d’une panne informatique, des applications internes hors-service

Le CHU d’Île-de-France a été touché par une panne informatique le 3 août au matin en raison d’un défaut électrique sur un prestataire hébergeant une partie de ses serveurs. Les applications internes à certains établissements, les messageries et la téléphonie ont été impactées. Un retour à la normale est attendu ce lundi. Le CHU explique dans un communiqué que la panne informatique est due à un défaut électrique “qui a touché le prestataire en charge de l’hébergement d’une partie de ses serveurs”. La panne chez l’hébergeur est survenue vers 11 h et a été résolue vers 14 h, mais les 38 hôpitaux d’Île-de-France en subissent toujours les effets. L’AP-HP espérait un rétablissement complet dimanche après-midi, avant de reporter le retour à la normale à ce lundi.

Disponible sur: usine-digitale.fr

Zataz

L’évolution de la cybercriminalité en France : rapport 2024

La cybercriminalité représente une menace croissante pour les institutions, l’économie, et la sécurité des citoyens. Ce phénomène complexe et dynamique nécessite une vigilance constante et une réponse collective. Le rapport annuel 2024 sur la cybercriminalité en France, proposé par le Commandement du ministère de l’Intérieur dans le cyberespace offre une analyse de l’état actuel de la menace et des efforts déployés pour y faire face dans l’Hexagone. Zataz l’a analysé pour vous dans l’article disponible ci-dessous.

Disponible sur: zataz.com

CNIL

Escroquerie aux données bancaires en période estivale : comment se protéger ?

Régulièrement, la CNIL communique sur des violations de données inspirées d’incidents réels qui lui sont notifiés. Cette publication a pour objectif de permettre à tous les professionnels de comprendre et de prévenir les risques de violation de données. La façon de procéder présentée dans ce document reflète l’organisation mise en œuvre par le responsable de traitement ayant servi d’inspiration à ce cas d’usage.

Disponible sur: CNIL.fr

ANSSI

L’ANSSI publie ses recommandations pour l’hébergement des systèmes d’information sensibles dans le cloud

Pour répondre aux enjeux de sécurité liés au cloud, l’ANSSI a développé des recommandations pour l’hébergement dans le cloud qui précise, en fonction du type de système d’information (SI), de la sensibilité des données et du niveau de la menace, les types d’offres cloud à privilégier. Cette série de recommandations constitue un outil d’aide à la décision pour les entités qui envisagent un hébergement cloud pour leurs systèmes d’information de niveau diffusion restreinte, les SI sensibles des opérateurs d’importance vitale et des opérateurs de services essentiels, ainsi que des systèmes d’information d’importance vitale (SIIV).

Il est à noter qu’elle ne s’applique pas aux systèmes d’information classifiés et que tous les systèmes d’information n’ont pas vocation à recourir aux solutions cloud. Elle s’inscrit, par ailleurs, en cohérence avec la doctrine « cloud au centre » de l’État.

Disponible sur: cyber.gouv.fr

L’Usine digitale

Trois collectivités territoriales sur dix estiment être en retard en matière de cybersécurité

31% : c’est la proportion de collectivités territoriales françaises qui s’estiment “plutôt en retard” ou “très en retard” en matière de cybersécurité, notamment sur l’exposition au risque cyber et sur la maturité de leur organisation. 36% d’entre elles estiment être à niveau, tandis que 29% s’estiment en avance (24% dans les communes rurales). Des chiffres issus d’une étude menée auprès de 201 élus, directeurs généraux des services, directeurs de cabinet et de service de collectivités territoriales en France, et publiée par la start-up de cybersécurité HarfangLab.

Disponible sur: usine-digitale.fr

Zataz

Fuite pour la marque Zadig et Voltaire

Il y a quelques jours, un pirate informatique repéré par le Service Veille ZATAZ a mis en vente la base de données de ce qui semble être des informations internes clients de la marque de mode française Zadig & Voltaire. Le pirate, il signe sous un pseudonyme d’un personnage de manga Japonais, indique avoir volé les informations en novembre 2023. Parmi les 638 726 dossiers clients exposés, le pirate affirme que les informations compromises incluent les noms des clients, les adresses email, les numéros de téléphone, les adresses de livraison, les dates de naissance et le sexe.

Disponible sur: zataz.com

AEPD (autorité espagnole)

Allianz condamné à une amende de 200 000 euros par l’autorité espagnole

Le 13 juin 2024, l’autorité espagnole a publié une sanction à l’encontre du groupe d’assurances Allianz en raison de mesures techniques et organisationnelles non appropriées pour garantir un niveau de sécurité adapté au risque présenté par le traitement. Cette affaire, sur fond de divorce et de bataille judiciaire pour la pension alimentaire des enfants, commence avec la production par madame de documents relatifs à une police d’assurance souscrite par monsieur pour son véhicule, notamment un « extrait des systèmes de la compagnie d’assurance Allianz auxquels elle a eu un accès non autorisé » . Cet accès avait été permis par une connaissance amicale de madame qui était  employé du Centre de traitement des réclamations (CTS) de la société Allianz et « qui, en violation des politiques de protection des données de la société et du code de conduite applicable à tous les employés de la société, qui comprend le devoir de confidentialité de tous les employés par rapport aux données personnelles et le devoir de confidentialité de tous les employés par rapport aux données personnelles de l’employé de la société« .

Cette communication non autorisée, réalisée par l’employée de manière intentionnelle et en connaissance de son illégalité, constitue une violation de la confidentialité des données à caractère personnel que l’entreprise a dû notifier le 14 septembre dans les soixante-douze (72) heures après en avoir pris connaissance, comme le prévoit la réglementation en vigueur. Néanmoins, cela n’a pas été suffisant, et le code de conduite de l’entreprise ou encore les formations dispensées aux salariés non plus : au cours de l’enquête, Allianz a reconnu qu’il n’y a pas de traçabilité des accès. L’AEPD a ainsi a déduit de ce manque de traçabilité – dont l’objet est précisément de contrôler la possibilité d’un accès abusif -, qu’il y avait un manque de mesures de sécurité et une infraction aux articles 5,1,f et 32 du RGPD. Allianz a ainsi été condamné à une amende de 200 000 euros mais n’en a finalement payé « que » 160 000 : la société a reconnu sa responsabilité et a ainsi pu bénéficier d’une réduction. Si elle réalise un paiement volontaire, l’amende sera même réduite à 120 000 euros, une réduction supplémentaire s’appliquant.

Disponible (en espagnol) sur: aepd.es
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Retour en haut