Fuite de données privées et sensibles d’étudiants corrigée pour EPITECH

Plusieurs milliers de documents privés, et pour certains sensibles, d’étudiants étaient accessibles sans aucune restriction dans un espace recrutement de l’EPITECH. L’École pour l’informatique et les nouvelles technologies a corrigé près de quatre ans de fuite.

Photos, bulletins, diplômes, cartes d’identité, passeports, … voilà le contenu des 47539 documents qui étaient accessibles, jusqu’à ce 1er juillet 2015, dans un espace Internet de L’École pour l’informatique et les nouvelles technologies [EPITECH – European Institute of Information Technology]. Des données qui ne sont plus accessibles depuis un protocole d’alerte de ZATAZ. Elles étaient sauvegardées dans un espace web utilisé comme un vulgaire « cloud ». Inquiétant, les informations se lisaient avec un simple navigateur. Des documents scannés, accessibles via Google. Le moteur de recherche avait référencé plusieurs de ces fichiers transformés en jpg.

Le problème est apparu dans l’espace « Prospect » du portail des admissions du Campus Technologique de IONIS Education Group. L’établissement a rapidement pris les choses en main après notre protocole d’alerte du 26 juin. Il aura cependant fallu une seconde alerte pour que toutes les informations soient effacées du site… et de Google, … « Pour information, va préciser un enseignant, ce portail n’est plus utilisé pour les candidatures depuis quelques années. » Malheureusement ZATAZ a constaté que les 47539 documents accessibles, la première numérisation datait du mois d’Août 2011, couraient sur les années 2011, 2012, 2013, 2014 et jusqu’aux plus récentes, datant du 26 juin 2015, date de notre constatation et du protocole d’alerte 50940.

Comme le rappel la Commission Informatique et des Libertés (CNIL), tout responsable de traitement informatique de données personnelles doit adopter des mesures de sécurité physiques (sécurité des locaux), logiques (sécurité des systèmes d’information) et adaptées à la nature des données et aux risques présentés par le traitement. Ne pas protéger correctement des informations à caractére personnel, et sensibles comme les piéces d’identités, (imprudence ou négligence) est punie de 3 ans d’emprisonnement et de 100 000 € d’amende (art. 226-22 du code pénal). Le non-respect de l’obligation de sécurité est sanctionné de 5 ans d’emprisonnement et de 300 000 € d’amende. (art. 226-17 du code pénal).

ZATAZ.COM ne sait pas depuis quand durait cette fuite importante fuite de données, et surtout, savoir si des malveillants ont pu mettre la main sur les informations en question.

Pendant ce temps…

L’université de Harvard a indiqué avoir découvert, en juin 2015, une infiltration dans 8 de ses serveurs. Des pirates se sont invités dans les machines et les administrations de plusieurs facultés basées à Harvard : Faculty of Arts and Sciences, Harvard Divinity School, Radcliffe Institute for Advanced Study, Central Administration, the Graduate School of Design, Harvard Graduate School of Education, Harvard John A. Paulson School of Engineering and Applied Sciences, or Harvard T.H. Chan School of Public Health. L’université vient de demander à ses élèves de changer leur mot de passe d’accès à leur compte élève et à leur messagerie Exchange. L’école ne connait pas encore les données sensibles et privées qui ont pu être volées.

Au japon, c’est la prestigieuse Université de Waseda qui a alerté, lundi, les élèves. Elle explique avoir découvert une attaque datant… d’il y a un an et demi. Les données personnelles d’environ 3.300 fonctionnaires et étudiants avaient été copiés par des pirates informatiques. Dans les données volées : noms, numéros d’identification, adresses électroniques… L’attaque a été possible à la suite d’un « clic » via un fichier proposé dans un courriel. Se dernier se faisait passer pour une document lié à des frais médicaux. En ce moment, en France, ce même type de courriel se fait passer pour des factures impayées. Prudence !

Au sujet de l'auteur
Damien Bancal - Fondateur de ZATAZ.COM / DataSecurityBreach.fr Travaille sur les sujets High-tech/Cybercriminalité/Cybersécurité depuis 1989. Gendarme réserviste - Lieutenant-Colonel (RC) ComCyberGend. Fondateur du Service Veille ZATAZ : https://www.veillezataz.com En savoir plus : https://www.damienbancal.fr

Articles connexes

  1. Sadirac Reply

    Ahahahah, j’en rigole tellement

  2. Courtois Reply

    Énorme…

  3. Pingback: ZATAZ Magazine » Piratage pour le groupe ESG ?

  4. Pingback: ZATAZ Magazine » Fuite de données internes pour EasyJet

Laisser un commentaire

*

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.