Fuite de données pour un cabinet de recrutement

Un internaute découvre un accès à 30Go de bases de données non protégées par une agence de recrutement. Des centaines de Français, Belges et Suisses concernés.

Un internaute, le même qui avait mis la main sur une fuite de données dans les serveurs de la Croix-Rouge Australienne, a découvert comment un cabinet de recrutement ne protégeait pas les données envoyées par des demandeurs d’emploi des quatre coins de la planète.

Le site web Michael Page exposait publiquement des fichiers .sql dans une dossier ouvert aux 4 vents via un site de développement. Michael Page est une agence de recrutement britannique. Son prestataire de services informatiques, CapGemini.

Une fuite de plusieurs centaines de milliers de données

780 000 adresses mails, et beaucoup de données relatives aux emplois des candidats tels que leurs CV. Le recruteur britannique a diffusé une alerte sur son site web « Data incident FAQs« . Dans cette alerte, Michael Page indique qu’il comprend « qu’il y aura des questions et des préoccupations de la part des personnes touchées« .

Pour expliquer cette fuite, l’entreprise confirme qu’un serveur de développement utilisé pour tester des sites Web de « PageGroup » a fait l’objet d’un piratage informatique, donnant ainsi accès à de nombreuses informations : Prénom, nom de famille, adresse mail, mot de passe pour la zone mypage du site Web, numéro de téléphone, poste actuel, ….

Vous aurez remarqué la mauvaise foi de cette alerte. Parler d’attaque informatique alors que les gars ont oublié de fermer un dossier accessible via un navigateur et un simple url. « Nous nous sommes assurés que le site Web est sécurisé. Termine Michael Page. Nous traitons cette question très au sérieux et nous travaillons avec notre fournisseur de solutions informatiques, Capgemini, afin d’étudier en profondeur comment cet incident s’est produit et de mettre en place des mesures pour éviter que cela ne se reproduise« . La réponse est simple boulet : ne pas utiliser les données existantes de vos clients dans votre espace de développement ; et pourquoi ne pas relire la base : AuthUserFile /var/www/vhosts/www.92829.tld/httpdocs/private/.htpasswd.

Pour les Français, la base de données concernées, elle date du 29 octobre 2016, fait 131 Mo. 52 Mo pour la Belgique. 39Mo pour les Canadiens.