Publié le 30-07-2008 à 01:11:44 dans le thème Authentification

Pays : International - Auteur : Damien Bancal

Pub : Participez à des batailles navales sanglantes et gagnez 10000 € sur Bigpoint.fr

Une agence de location de véhicule laissait en accès libre les données de ses clients. Courriels et identités accessibles aux spammeurs et autres cyber-escrocs.

La société française Car'go est une entreprise savoyarde à dimension nationale. Une centaine de collaborateurs, une flotte de près de 5.000 véhicules, une implantation nationale, plus de 360 points de location pour un service de proximité, et un site Internet, cargo.fr. Ce dernier souffrait d'un étrange mal qui laissait accessible les informations laissées par les potentiels clients de cette société. Via un simple navigateur (Internet Explorer, Firefox, ...) la rédaction de zataz.com a pu accéder aux courriers électroniques envoyés par des internautes. Les messages, les identités des émetteurs, les adresses électroniques et les informations que les clients avaient souhaité communiquer à l'entreprise. Plusieurs milliers de messages étaient accessibles dans un fichier texte (.txt), sans mot de passe, ni chiffrement qui auraient pu permettre  de protéger son contenu.

La première lettre disponible datait du 6 mars 2007. La dernière, le jour ou la société a corrigé sa fuite, à la suite de notre communication électronique à son attention, le 29 juillet 2008. 17 mois de diffusion, sans aucune restriction, ni contrôle. Heureusement, la rédaction de zataz.com pu constater que Google n'avait rien sauvegardé dans sa cache.

Données clients, ce qu'en dit la CNIL

Ce genre de "bug" n'est pas qu'un simple petit fait-divers numérique. Avec de telles données, un spammeur aurait pu noyer les clients de publicités non sollicitées très ciblées. Un cyber-escroc aurait pu exploiter les informations pour proposer de fausses locations de véhicules. Les clients n'y auraient vu que du feu sachant que leurs courriels, en temps normal, n'étaient connus que d'eux et de la société qu'il sollicitait.

La Commission Nationale de l'Informatique et des Libertés (CNIL) rappel sur son site quelques élèments bons à retenir comme celui d'éviter la « dilution » des données archivées dans le système informatique de l’entreprise. En application de l’article 34 de la loi du 6 janvier 1978 modifiée, les responsables de traitements doivent mettre en oeuvre les mesures techniques et d'organisation appropriées pour protéger les données archivées notamment contre la diffusion ou l'accès non autorisés ainsi que contre toute autre forme de traitement illicite. "Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès."

Ces mesures doivent assurer un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger. La CNIL recommande que l’accès aux archives intermédiaires soit limité à un service spécifique et qu’il soit procédé, a minima, à un isolement des données archivées au moyen d’une séparation logique (gestion des droits d’accès et des habilitations). Elle recommande également que les archives définitives soient conservées sur un support indépendant, non accessible par les systèmes de production, n’autorisant qu’un accès distinct, ponctuel et précisément motivé auprès d’un service spécifique seul habilité à consulter ce type d’archives. Elle recommande enfin de mettre en oeuvre des dispositifs sécurisés lors de tout changement de support de stockage des données archivées ainsi que de mettre en oeuvre des dispositifs de traçabilité des consultations des données archivées. (Kolla)

États généraux : les masques tombent

Le syndicat national des journalistes communique : Les patrons de presse piaffent de plus en plus devant la cheminée où ils ont déposé leurs gros sabots.

Wizzgo vs NouvelObs : Deux poids deux mesures

L´application stricte de la loi DADVSI à l´encontre de Wizzgo. Le Nouvel Observateur va t il être aussi condamné à 480.000 euros d'amende ?

Alliance du mouvement de la jeunesse sur Internet

Les réseaux internet dédiés aux adolescents vont être utilisés pour combattre le crime et le terrorisme.

Jugement de plusieurs pirates de cartes bancaires

Deux anciens légionnaires, des chomeurs, un étudiant, un électricien et un agronome jugés dans une vaste fraude à la carte bancaire dans le sud de la France.

Trois nouvelles taxes pour l'Internet Français

Afin de trouver l´argent qui est censé faire survivre la télévision publique française, trois nouvelles taxes risquent d´arriver sur l'Internet hexagonal.

Clés USB: le Père-Noël est une ordure ?

Méfiez-vous des clés USB que vous allez acquérir pour Noël. Même le Pentagone Américain conseille de ne pas introduire ce genre de matériel dans son ordinateur.

Riposte graduée : Albanel délire

Comment rire avec Christine Albanel ? En l'écoutant expliquer que le retrait de l´amendement 138 était une - très bonne nouvelle -.

Un microcontrôleur pour cartes d´identité sécurisées

Le ST23YR80, un microcontrôleur équipé d'une technologies de cryptographie et d´une capacité de mémoire accrue pour le stockage des données biométriques.

Un microcontrôleur pour cartes d´identité sécurisées

Le ST23YR80, un microcontrôleur équipé d'une technologies de cryptographie et d´une capacité de mémoire accrue pour le stockage des données biométriques.

Un nazi près de chez vous

Exclusif : La fuite de données appartenant à un parti politique nationaliste anglais fait des vagues. Un moteur de recherche offre la possibilité de savoir si un nazi habite près de chez vous.

Bug iPhone: Il est à qui le kiki du coco ?

Un mari volage hurle à qui veut l´entendre que la photo de son kiki a été envoyée par erreur. Son iPhone a une faille irrévérencieuse.

Le site Amoureux.com laissait en accès libre plus de 400.000 emails

Exclusif : L´amour rend aveugle. Des centaines de milliers d´adresses électroniques étaient en accès libre sur le site Amoureux.com.

330.000 dossiers de patients perdus par une école de dentistes

L´Université de Floride vient d´avertir plus de 330.000 patients soignés par son école dentaire. Un pirate est passé par un de ses serveurs.

Créer une fausse identité en France, Possible ? La réponse est oui !

Vrai faux passeport, compte en banque, Assedic, faux permis. Se créer une fausse identité et pouvoir en vivre est possible en France. Le prochain sujet de l'émission Les infiltrés de France 2.

Microsoft annonce la nouvelle version de son système d´exploitation Windows Embedded Standard basée sur Windows 7

Dans sa nouvelle version, Windows Embedded Standard offrira un éventail plus riche de solutions permettant le développement de terminaux intelligents, connectés et orientés-service.

Fuite de données pour la prestigieuse école Harvard

21.000 dossiers appartenant à des élèves de la prestigieuse école Harvard dans la nature. Quelqu´un a paumé... un backup.

Réagissez à ce contenu