Publié le 04-09-2008 à 16:07:49 dans le thème HaideD

Pays : France - Auteur : Damien Bancal

Exclu : L'assureur MGEL n'assure pas la protection de certaines données fournies par des lycéens Français.

Après l'affaire des données scientifiques [lire], voici une mutuelle étudiante. La MGEL est un assureur qui vient de fêter ses 60 ans d'existence. Mission de cette entreprise, permettre la gestion de la sécurité sociale étudiante, proposer des complémentaires santé et des services aux étudiants. La rédaction de ZATAZ.COM a pu constater que plusieurs bases de données contenant noms, prénoms et courriers électroniques de centaines de lycéens, avaient été laissées sans contrôle sur l'un des sites de la MGEL. Contacté voilà plus d'une semaine, les bases de données n'ont toujours pas été effacées. Des données qui pourraient permettre à un phisheur, par exemple, d'hameçonner des internautes aux couleurs de cet assureur via un courrier électronique que seule cette société est censée posséder.

Données clients, ce qu'en dit la CNIL
Ce genre de "bug" n'est pas qu'un simple petit fait-divers numérique. Avec de telles données, un spammeur aurait pu noyer les clients de publicités non sollicitées très ciblées. Un cyber-escroc aurait pu exploiter les informations pour proposer de faux cadeaux piégés (virus, ...) Les lycéens inscrits n'y auraient vu que du feu sachant que leurs courriels, en temps normal, n'étaient connus que d'eux et du site Internet appartenant à la MGEL.

La Commission Nationale de l'Informatique et des Libertés (CNIL) rappel sur son site quelques éléments bons à retenir comme celui d'éviter la « dilution » des données archivées dans le système informatique de l’entreprise. En application de l’article 34 de la loi du 6 janvier 1978 modifiée, les responsables de traitements doivent mettre en oeuvre les mesures techniques et d'organisation appropriées pour protéger les données archivées notamment contre la diffusion ou l'accès non autorisés ainsi que contre toute autre forme de traitement illicite. "Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès."

Ces mesures doivent assurer un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger. La CNIL recommande que l’accès aux archives intermédiaires soit limité à un service spécifique et qu’il soit procédé, a minima, à un isolement des données archivées au moyen d’une séparation logique (gestion des droits d’accès et des habilitations). Elle recommande également que les archives définitives soient conservées sur un support indépendant, non accessible par les systèmes de production, n’autorisant qu’un accès distinct, ponctuel et précisément motivé auprès d’un service spécifique seul habilité à consulter ce type d’archives.

Elle recommande enfin de mettre en oeuvre des dispositifs sécurisés lors de tout changement de support de stockage des données archivées ainsi que de mettre en oeuvre des dispositifs de traçabilité des consultations des données archivées.

Le Comité d´Entreprise de GoodYear Amiens fait dans le phishing !

Exclu : Une page dédié à la banque Halifax cachée à l´insu du plein grès du Comité d'Entreprise du fabricant de pneu GoodYear, à Amiens.

DailyMotion HS: Fait trop chaud

Une panne de courant plonge plusieurs centaines de sites Internet Français dans le noir dont Dailymotion, le portail vidéo.

Interpol, nouveau membre du FIRST

La police internationale intègre le cercle du Forum of Incident Response and Security Teams, FIRST.

Fête nationale à la sauce guerre électronique

Un internaute souhaitait lancer une attaque informatique lors de la fête nationale américaine du 4 juillet. Il passera son Independance Day entre quatre murs.

Nouvelles arrestations chez wawa mania

Mercredi matin, les forces de l´ordre française auraient sonné chez de nouveaux administrateurs et uploaders du site Wawa Mania.

Sécurité et mobilité

Périphériques de stockage amovibles : une menace réelle pour la sécurité des informations en entreprises. Une tribune d´Alexei Lesnykh, Responsable du Développement International et de la Stratégie Produit de DeviceLock.

Interoute Internet Barometer

Un widget vous permet de suive en temps réel les attaques informatiques en cours.

Usenet coupable de violation de la propriété intellectuelle

Les ayants droits américains font condamner Usenet. La justice estime que Usenet est directement coupable de violation de la propriété intellectuelle.

Les blogs de France 2 étaient contrôlables d´un simple clic

Exclusif : Il était possible de contrôler l´ensemble des 15.000 blogs hébergés sur le site de France Télévision.

La Caisse d´Epargne corrige son bug Internet

Exclusif : Un bug permettait de lire le numéro de la carte bancaire des clients de la Caisse d´Epargne. L´Écureuil vient de corriger.

La plus grave fuite de données en France corrigée

Exclusif : Le site chargé des Titres emploi service entreprise ne protégeait pas les informations des cotisants. La rédaction de ZATAZ.COM a eu accès aux données des adhérents: compte en banque, numéros de sécurité sociale, bulletin de paie, ... Plus de 5

Virgin Mobile détendue de la base de données

Exclusif : L´opérateur de téléphone mobile Virgin Mobile laissait fuir sur la toile des contrats clients avec mot de passe et code IMEI.

Faille sur le site NIERLE, les comptes clients étaient en danger

Exclusif : Des vulnérabilités informatiques touchaient le site de vente de CD et DVD Nierle.com. La rédaction de ZATAZ.COM était capable d´accéder aux données sensibles de n´importe quel client.

Près de 35 000 identités d´étudiants Français sur le web

Exclusif : Le portail de l'Université de Tours avait un problème de fuite. Noms, adresses électroniques et postales d´étudiants étaient accessibles d´un simple clic de souris.

Plusieurs milliers de comptes mels piratés

Exclusif : La rédaction de ZATAZ.COM découvre un fichier affolant de plusieurs milliers de comptes de courriers électroniques piratés. Inquiétant.

Fuite de données pour le site Adopte un mec

Exclusif : Le site de rencontres Adopte un mec, 3ème site de rencontre Français, piégé par une application sur Internet. Les photos privées des membres perdaient de leur confidentialité.

Réagissez à ce contenu