Publié le 30-07-2008 à 01:11:44 dans le thème Authentification

Pays : International - Auteur : Damien Bancal

Pub : CA Anti-Virus 2007 - Protection exhaustive contre l’intrusion de virus!

Une agence de location de véhicule laissait en accès libre les données de ses clients. Courriels et identités accessibles aux spammeurs et autres cyber-escrocs.

La société française Car'go est une entreprise savoyarde à dimension nationale. Une centaine de collaborateurs, une flotte de près de 5.000 véhicules, une implantation nationale, plus de 360 points de location pour un service de proximité, et un site Internet, cargo.fr. Ce dernier souffrait d'un étrange mal qui laissait accessible les informations laissées par les potentiels clients de cette société. Via un simple navigateur (Internet Explorer, Firefox, ...) la rédaction de zataz.com a pu accéder aux courriers électroniques envoyés par des internautes. Les messages, les identités des émetteurs, les adresses électroniques et les informations que les clients avaient souhaité communiquer à l'entreprise. Plusieurs milliers de messages étaient accessibles dans un fichier texte (.txt), sans mot de passe, ni chiffrement qui auraient pu permettre  de protéger son contenu.

La première lettre disponible datait du 6 mars 2007. La dernière, le jour ou la société a corrigé sa fuite, à la suite de notre communication électronique à son attention, le 29 juillet 2008. 17 mois de diffusion, sans aucune restriction, ni contrôle. Heureusement, la rédaction de zataz.com pu constater que Google n'avait rien sauvegardé dans sa cache.

Données clients, ce qu'en dit la CNIL

Ce genre de "bug" n'est pas qu'un simple petit fait-divers numérique. Avec de telles données, un spammeur aurait pu noyer les clients de publicités non sollicitées très ciblées. Un cyber-escroc aurait pu exploiter les informations pour proposer de fausses locations de véhicules. Les clients n'y auraient vu que du feu sachant que leurs courriels, en temps normal, n'étaient connus que d'eux et de la société qu'il sollicitait.

La Commission Nationale de l'Informatique et des Libertés (CNIL) rappel sur son site quelques élèments bons à retenir comme celui d'éviter la « dilution » des données archivées dans le système informatique de l’entreprise. En application de l’article 34 de la loi du 6 janvier 1978 modifiée, les responsables de traitements doivent mettre en oeuvre les mesures techniques et d'organisation appropriées pour protéger les données archivées notamment contre la diffusion ou l'accès non autorisés ainsi que contre toute autre forme de traitement illicite. "Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès."

Ces mesures doivent assurer un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger. La CNIL recommande que l’accès aux archives intermédiaires soit limité à un service spécifique et qu’il soit procédé, a minima, à un isolement des données archivées au moyen d’une séparation logique (gestion des droits d’accès et des habilitations). Elle recommande également que les archives définitives soient conservées sur un support indépendant, non accessible par les systèmes de production, n’autorisant qu’un accès distinct, ponctuel et précisément motivé auprès d’un service spécifique seul habilité à consulter ce type d’archives. Elle recommande enfin de mettre en oeuvre des dispositifs sécurisés lors de tout changement de support de stockage des données archivées ainsi que de mettre en oeuvre des dispositifs de traçabilité des consultations des données archivées. (Kolla)

Le Comité d´Entreprise de GoodYear Amiens fait dans le phishing !

Exclu : Une page dédié à la banque Halifax cachée à l´insu du plein grès du Comité d'Entreprise du fabricant de pneu GoodYear, à Amiens.

DailyMotion HS: Fait trop chaud

Une panne de courant plonge plusieurs centaines de sites Internet Français dans le noir dont Dailymotion, le portail vidéo.

Interpol, nouveau membre du FIRST

La police internationale intègre le cercle du Forum of Incident Response and Security Teams, FIRST.

Fête nationale à la sauce guerre électronique

Un internaute souhaitait lancer une attaque informatique lors de la fête nationale américaine du 4 juillet. Il passera son Independance Day entre quatre murs.

Nouvelles arrestations chez wawa mania

Mercredi matin, les forces de l´ordre française auraient sonné chez de nouveaux administrateurs et uploaders du site Wawa Mania.

Sécurité et mobilité

Périphériques de stockage amovibles : une menace réelle pour la sécurité des informations en entreprises. Une tribune d´Alexei Lesnykh, Responsable du Développement International et de la Stratégie Produit de DeviceLock.

Interoute Internet Barometer

Un widget vous permet de suive en temps réel les attaques informatiques en cours.

Usenet coupable de violation de la propriété intellectuelle

Les ayants droits américains font condamner Usenet. La justice estime que Usenet est directement coupable de violation de la propriété intellectuelle.

Une cellule cybercrime des services secrets US s´installe en Europe

Exclu : Les services secrets américains vont annoncer le déploiement d´un détachement spécial de cyber agents. Mission, protéger Internet et surveiller les données bancaires de la poste italienne.

Pinwale : l´œil de Moscou de Washington

Les services de renseignements américains auraient espionné des millions de courriers électroniques via un système baptisé Pinwale.

Premier service en ligne de surveillance pour personnes vulnerables

Premier service de surveillance, de veille et de sécurité pour des personnes vulnérables par l´Internet.

Secret Story pas trop secret sur le web

Exclusif : Le site Internet mis en place par deux anciens participants de Secret Story ne protegeait pas correctement ses abonnés.

Propos raciste sur le site du Mouvement Socialiste

Données sensibles et annotation raciste sur le site du parti politique belge, Mouvement socialiste.

Méfiez-vous de vos news letters

Les adeptes des sites achatvip.com, club-prive.fr devraient se méfier des news-letters qu´ils peuvent recevoir.

La vie privée, un problème de vieux cons ?

Conférence, vendredi 5 juin, à La Wikiplaza de Futur en Seins. Thème de la soirée : En route vers la société de l´information, ou de la surveillance ?

Le moteur de recherche Bing se l´a joue pirate

Exclusif : Le nouveau moteur de recherche de Microsoft, Bing, intercepte aussi les petits secrets des internautes.

Réagissez à ce contenu