Dernières actualités : données personnelles

L’Usine digitale

Un établissement de santé victime d’une fuite de données, 750 000 dossiers de Français dérobés

Un pirate informatique a mis en vente le 19 novembre sur le site de piratage BreachForums des données personnelles sensibles appartenant à 758 912 Français. Il affirme sur le forum avoir dérobé les noms, prénoms, dates de naissance, adresses postales et e-mail et numéros de téléphone des individus. De manière plus inquiétante, il revendique aussi la fuite de certaines données sensibles, comme des prescriptions médicales, le nom du médecin traitant des patients, des déclarations de décès, les historiques de carte de mutuelle et des identifiants externes.

Disponible sur: usine-digitale.fr

Numerama – Cyberguerre

Une fuite de données frappe Le Point et une autre Auchan, un demi-million de clients affectés

Auchan piraté

À la liste déjà fort longue d’entreprises françaises victimes de fuites de données, deux noms viennent de s’y ajouter : le magazine Le Point et, surtout, l’enseigne de grande distribution Auchan. L’enseigne de grande distribution a adressé un mail à sa clientèle pour lui signaler une fuite de données. On parle du nom, prénom, mail, adresse postale, numéro de téléphone, date de naissance, et d’informations secondaires (composition du foyer, numéro de la carte de fidélité et montant de la cagnotte).

Disponible sur: numerama.com

PIPC (autorité coréenne)

Sanctions contre deux universités n’ayant pas appliqué un patch de sécurité vieux de 6 ans

La Commission de protection des informations personnelles (Président Ko Hak-soo, ci-après dénommée « Commission des informations personnelles ») a annoncé avoir a voté l’imposition d’un total de 235,8 millions KRW d’amendes (environ 160 000 euros) et de 6,6 millions KRW (environ 4500 euros) de pénalités à l’Université Sunchunhyang et à l’Université Kyungsung pour avoir enfreint la Loi sur la protection des informations personnelles à propos de leurs obligations de sécurité.  Ces deux universités ont fait l’objet d’une enquête à la suite d’un rapport sur une fuite d’informations personnelles. Au cours de ces enquêtes, l’autorité a constaté :

* S’agissant de l’université Sunchunhyang : des informations personnelles ont été divulguées par des pirates informatiques qui ont exploité une vulnérabilité de logique web sur le site web principal de l’école. L’analyse des fichiers diffusés par le pirate sur les réseaux sociaux a confirmé que plus de 500 informations personnelles (nom, département, numéro de cours, adresse, coordonnées, affiliation, numéro de sécurité sociale, etc. Malgré cela, l’université Sunchonhyang n’a pas appliqué à ce jour le correctif de sécurité distribué par Oracle pour résoudre la vulnérabilité de la logique web en octobre 2017. En outre, l’université Sunchonhyang n’a pas mis en place les fonctions d’autres règles de sécurité essentielles, ni de  mesures de chiffrement lors de la conservation, dans un espace de stockage interne, de preuves relatives au recrutement de conférenciers contenant des numéros d’identification nationaux.
En conséquence, la PIPC a imposé une amende de 193 millions de KRW et une pénalité de 6,6 millions de KRW (environ 135 000 euros au total) à l’université Sunchonhyang, et a ordonné des mesures correctives afin de remédier aux carences mises en évidence.

* S’agissant de l’université Kyungsung : des informations personnelles ont été divulguées à la suite d’un piratage du système d’information global du campus (portail Kyungsung), de la même manière qu’à l’université Sunchonhyang, et les pirates ont diffusé les informations personnelles volées sur les services de réseaux sociaux. Après avoir analysé les fichiers publiés par les pirates, il a été confirmé que les informations personnelles (nom, département, numéro de cours, numéro de téléphone portable) de plus de 2 000 étudiants ont  été divulguées. À la suite de l’enquête, l’Université Kyungsung n’a pas non plus appliqué le correctif de sécurité distribué par Oracle en octobre 2017 pour résoudre la vulnérabilité de la logique web.
En réponse, la Commission de protection des informations personnelles a imposé une amende de 42,8 millions de wons (environ 29 000 euros) à l’université et lui a demandé d’améliorer l’ensemble de ses mesures de protection des informations personnelles.

L’autorité note qu’il est probable que les deux universités aient été attaquées par le même pirate informatique car elles ont laissé des vulnérabilités dans la logique web de leurs systèmes de traitement des informations personnelles non améliorées pendant plus de six ans.

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

UODO (autorité polonaise)

Amende de 350 000 PLN pour une société vendant des portes anti-effraction pour … non-respect des règles de protection des données

Aujourd’hui, l’autorité polonaise a annoncé avoir infligé une amende de plus de 350 000 PLN (environ 80 000 euros) à une société vendant, entre autres, des portes anti-effraction, pour non-respect des règles de protection des données à caractère personnel. Cette affaire commence par une notification de violation : la base de données indique avoir été victime d’un ransomware et avoir perdu une base de données qui contenait notamment les données d’anciens employés et d’employés actuels : numéros PESEL [équivalent du NIR], cartes d’identité, noms et prénoms, noms des parents, dates de naissance, numéros de compte bancaire, adresses de résidence ou de séjour, e-mail et numéro de téléphone. Selon l’entreprise, son employé a désactivé son programme anti-virus, ce qui a permis l’attaque. Selon l’administrateur, l’incident a toutefois été de courte durée et l’entreprise a réussi à récupérer l’accès aux données. Il a également reconnu que le but de l’attaque n’était pas d’obtenir des données, mais de faire du chantage. Elle a donc estimé qu’il n’y avait pas de risque élevé de violation des droits ou des libertés des personnes.

Au cours de l’enquête qui a suivi cette notification, l’UODO constaté un certain nombre de manquements :
* Absence de mesures techniques et organisationnelles appropriées permettant de minimiser le risque pour les données;
* Absence de vérification que le sous-traitant fournit des garanties suffisantes pour mettre en œuvre les mesures techniques et organisationnelles appropriées ;
* Notification incomplète des personnes concernées, et absence d’information des employés (anciens ou actuels) de la société concernés ;
* Non respect du principe de responsabilité : le responsable du traitement n’a pas été en mesure de démontrer que les mesures mises en place étaient adaptées aux risques, car il n’avait pas examiné ces derniers.

Conséquence pour l’entreprise : une amende de 80 000 euros environ. L
L’UODO ne s’est cependant pas arrêtée là et a relevé la responsabilité des associés de la société civile à laquelle le responsable du traitement a confié le traitement des données. Il a souligné qu’ils n’ont pas aidé le responsable du traitement à respecter son obligation de mettre en œuvre des mesures techniques et organisationnelles adéquates pour assurer la sécurité du traitement des données à caractère personnel.  Le sous-traitant a négligé au fil des ans d’informer l’administrateur des vulnérabilités présentes dans le logiciel du serveur (alors que l’une d’entre elles a été exploitée avec succès par les auteurs de l’action criminelle) et de la nécessité de mettre à niveau le système d’exploitation vers la dernière version possible, ou d’utiliser d’autres solutions logiques plus récentes. Elle se trouve alors également condamnée par l’UODO, mais à une amende plus légère (environ 2200 euros).

Disponible (en polonais) sur: uodo.gov.pl
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

L’Usine digitale

Picard victime d’une fuite de données, plusieurs milliers de clients concernés

Après l’annonce d’une cyberattaque chez Free, c’est au tour de Picard d’annoncer avoir été victime d’une fuite de données. Dans un email envoyé à 45 000 clients membres de son programme de fidélité, l’enseigne de surgelés annonce avoir détecté « un accès non autorisé » par un tiers, sans intrusion dans ses systèmes d’information. La Commission nationale de l’informatique et des libertés (Cnil) a été informée, comme l’exige la législation en vigueur. Cet incident de sécurité a pu entraîner « une perte de confidentialité » des données disponibles sur les comptes de fidélité. Sont concernés les noms, prénoms, date de naissance, adresse mail, adresse postale, numéro de téléphone, numéro de carte de fidélité, bons de réduction/avantages éventuels, historique des commandes, tickets de caisse ainsi que la liste d’achats et les favoris de produits. L’entreprise précise que les données bancaires n’ont pas été touchées.

Disponible sur: usine-digitale.fr

GPDP (autorité italienne)

L’autorité italienne donne à la plus grande banque italienne 20 jours pour informer ses clients de la violation des données qu’elle a subi

Dans un article publié ce jour, l’autorité italienne a annoncé avoir donné 20 jours à Intesa pour informer les clients concernés par la violation de leurs données personnelles et bancaires, survenue à la suite d’un accès indu de la part d’un employé de la banque aux données de plusieurs milliers de clients. L’Autorité considère, contrairement à l’évaluation de la banque, que la violation de données à caractère personnel présente un risque élevé pour les droits et libertés des personnes concernées, compte tenu de la nature de la violation, des catégories de données traitées, de la gravité et des conséquences qui pourraient en résulter (par exemple, divulgation d’informations concernant la situation financière, atteinte à la réputation).

L’autorité italienne note que, dans les premières communications envoyées par la Banque au Garante, l’ampleur de la violation n’avait pas été suffisamment mise en évidence, comme l’ont révélé par la suite tant les articles de presse que les commentaires fournis par la Banque elle-même. La Garante, qui se réserve le droit d’évaluer l’adéquation des mesures de sécurité adoptées dans le cadre d’une enquête en cours, a ainsi également ordonné à la Banque de fournir à l’Autorité, dans un délai de trente jours, un retour d’information suffisamment documenté sur les mesures prises pour mettre pleinement en œuvre les exigences.

[Ajout contextuel Portail RGPD: La presse note en particulier que les comptes de 3 500 clients d’Intesa Sanpaolo, y compris ceux de la Première ministre Giorgia Meloni et de l’ancien Premier ministre Mario Draghi, ont été potentiellement été compromis entre février 2022 et avril 2024 et ont été indument consultés par l’employé concerné. Normalement, les employés d’Intesa n’ont de visibilité que sur les clients dont ils ont besoin de voir les données pour exercer leurs fonctions. Néanmoins, du fait de sa fonction, l’employé concerné avait accès à de très nombreuses données, et en a profité.]

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

PIPC (autorité coréenne)

La PIPC sanctionne deux entreprises pour violation de leurs obligations en matière de sécurité

L’autorité de protection des données coréennes (Président Ko Hak-soo, ci-après « PIPC ») a tenu sa 18e réunion plénière le 4 novembre (lundi) et a décidé d’imposer une amende totale de 60,69 millions de wons (environ 40 000 euros) et une amende administrative de 10,8 millions de wons (soit environ 7 000 euros) à deux entreprises ayant violé les réglementations sur la protection des données personnelles.

La première est   » Salaryman Rich People Co »  qui exploite un service de vidéo en ligne lié à la finance et à l’immobilier. Cette société a écopé d’une amende de 51,10 millions de wons et amende administrative de 2,70 millions de wons pour avoir fait fuiter les données de près de 110 000 personnes. Les résultats de l’enquête menée à la suite de la violation ont révélé que la société exploitait un système permettant d’accéder à la base de données uniquement par un serveur intermédiaire, sans mettre en place de pare-feu, et n’a pas restreint l’adresse IP pouvant accéder au serveur intermédiaire. De plus, il a été confirmé que Salaryman Rich People Co. permettait un accès à la base de données  à partir d’une source externe sans moyen d’authentification supplémentaire, simplement avec un identifiant et un mot de passe, et qu’il n’y avait même pas de mot de passe défini pour le compte administrateur de la base de données.

La seconde est Parkcha Company Co., exploitant d’une plateforme de courtage pour la vente de voitures de location d’occasion. Cette fois, la société a écopé d’une amende de 9,59 millions de wons et amende administrative de 8,10 millions de wons. La société Co. Parkcha Company a subi une attaque par injection SQL de la part de hackers, entraînant la fuite de données personnelles de 4 004 membres, y compris des informations sensibles telles que le grade d’invalidité des membres. Les résultats de l’enquête ont montré que Co. Parkcha Company n’avait pas mis en place des dispositifs de sécurité tels que des pare-feu pour prévenir les accès illégaux de l’extérieur, et n’a pas mis en œuvre de procédure de validation des entrées pour prévenir les attaques par injection SQL, ce qui a conduit à la fuite de données personnelles. En outre, il a été établi que Co. Parkcha Company ne détruisait pas les données personnelles dont la période de conservation était écoulée et que des numéros de compte personnels étaient stockés sans cryptage. Il a également été confirmé que l’entreprise avait tardé à notifier la fuite de données personnelles.

Disponible (en coréen) sur: pipc.go.kr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

L’Usine digitale

Cybersécurité : Schneider Electric victime d’une nouvelle fuite de données

Schneider Electric a annoncé le 4 novembre qu’elle enquêtait sur un “incident de cybersécurité impliquant un accès non autorisé” touchant l’une de ses “plateformes internes de suivi de l’exécution de projets”, a révélé le média spécialisé Bleeping Computer. La société précise que le fonctionnement de ses produits et services n’est pas impacté et qu’elle a mobilisé “immédiatement” une équipe pour répondre à l’incident. Cette déclaration fait suite à un message publié sur X (ex-Twitter) par un acteur malveillant dénommé “Grep”, dans lequel il assurait disposer de privilèges administrateur sur un système interne appartenant à Schneider Electric. Le hacker serait lié au gang de ransomware Hellcat, qui a revendiqué sur le dark web le piratage du serveur Atlassian Jira de la société française.

Disponible sur: usine-digitale.fr

Numerama – Cyberguerre

Les données de milliers de jeunes volées après une cyberattaque contre les missions locales

Le ministère du Travail et de l’Emploi a révélé le 31 octobre qu’un prestataire associé aux missions locales a été ciblé par une cyberattaque. Cet incident a touché le réseau national des missions locales, compromettant la sécurité de données sensibles. Les premières analyses indiquent que des informations personnelles ont été exfiltrées. Le hacker aurait dérobé les fichiers contenant les noms, prénoms, numéros de téléphone, adresses électroniques et postales. Les personnes concernées seront informées conformément au RGPD.

Disponible sur: numerama.com

Datatilsynet (autorité norvégienne)

Norvège : amende de 250 000 couronnes (environ 21 000 euros) infligée à la municipalité de Grue

L’autorité norvégienne a annoncé ce jour avoir décidé d’imposer une amende de 250 000 NOK (environ 21 000 euros) à la municipalité de Grue (comptant environ 5000 habitants) pour avoir violé les exigences du règlement général sur la protection des données.  En février 2024, l’autorité norvégienne de protection des données a reçu une notification de violation de données à caractère personnel de la part de la municipalité de Grue. Selon cette notification, la municipalité a appris que deux entrées dans le journal officiel local contenaient des données personnelles sensibles. Il s’est avéré qu’il s’agissait d’informations relatives à des décisions dites « 9A » en vertu de la loi sur l’éducation, qui sont des décisions individuelles concernant le droit des élèves à un environnement scolaire sûr. Ces documents contenaient le nom des élèves, leur date de naissance, leur numéro d’identité national ainsi que des informations sur les décisions 9A et les raisons qui les ont motivées. En outre, les numéros de téléphone et les adresses des parents ont été publiés.

Après un examen plus détaillé des registres postaux datant de 2020, huit autres anomalies ont été découvertes pour un total de 14 élèves concernés (ainsi que leurs parents). Certaines d’entres elles incluaient des numéros de sécurité sociale ou des numéros de compte qui apparaissent dans divers documents de demande. Dans un cas, la municipalité a reçu une lettre de la police dans laquelle un nom apparaît dans une affaire criminelle. En conséquence, l’autorité norvégienne a estimé que la municipalité a manqué à son obligation d’assurer une sécurité adéquate conformément au règlement général sur la protection des données. En outre, elle estime que la municipalité a violé les exigences d’une base juridique en vertu du règlement général sur la protection des données en publiant des informations confidentielles sur le journal officiel électronique.

Disponible (en norvégien) sur: datatilsynet.no
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Retour en haut