Publié le 04-09-2008 à 16:07:49 dans le thème HaideD

Pays : France - Auteur : Damien Bancal

Pub : 100 DVD vierges déjà pour 22,90 EUR

Exclu : L'assureur MGEL n'assure pas la protection de certaines données fournies par des lycéens Français.

Après l'affaire des données scientifiques [lire], voici une mutuelle étudiante. La MGEL est un assureur qui vient de fêter ses 60 ans d'existence. Mission de cette entreprise, permettre la gestion de la sécurité sociale étudiante, proposer des complémentaires santé et des services aux étudiants. La rédaction de ZATAZ.COM a pu constater que plusieurs bases de données contenant noms, prénoms et courriers électroniques de centaines de lycéens, avaient été laissées sans contrôle sur l'un des sites de la MGEL. Contacté voilà plus d'une semaine, les bases de données n'ont toujours pas été effacées. Des données qui pourraient permettre à un phisheur, par exemple, d'hameçonner des internautes aux couleurs de cet assureur via un courrier électronique que seule cette société est censée posséder.

Données clients, ce qu'en dit la CNIL
Ce genre de "bug" n'est pas qu'un simple petit fait-divers numérique. Avec de telles données, un spammeur aurait pu noyer les clients de publicités non sollicitées très ciblées. Un cyber-escroc aurait pu exploiter les informations pour proposer de faux cadeaux piégés (virus, ...) Les lycéens inscrits n'y auraient vu que du feu sachant que leurs courriels, en temps normal, n'étaient connus que d'eux et du site Internet appartenant à la MGEL.

La Commission Nationale de l'Informatique et des Libertés (CNIL) rappel sur son site quelques éléments bons à retenir comme celui d'éviter la « dilution » des données archivées dans le système informatique de l’entreprise. En application de l’article 34 de la loi du 6 janvier 1978 modifiée, les responsables de traitements doivent mettre en oeuvre les mesures techniques et d'organisation appropriées pour protéger les données archivées notamment contre la diffusion ou l'accès non autorisés ainsi que contre toute autre forme de traitement illicite. "Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès."

Ces mesures doivent assurer un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger. La CNIL recommande que l’accès aux archives intermédiaires soit limité à un service spécifique et qu’il soit procédé, a minima, à un isolement des données archivées au moyen d’une séparation logique (gestion des droits d’accès et des habilitations). Elle recommande également que les archives définitives soient conservées sur un support indépendant, non accessible par les systèmes de production, n’autorisant qu’un accès distinct, ponctuel et précisément motivé auprès d’un service spécifique seul habilité à consulter ce type d’archives.

Elle recommande enfin de mettre en oeuvre des dispositifs sécurisés lors de tout changement de support de stockage des données archivées ainsi que de mettre en oeuvre des dispositifs de traçabilité des consultations des données archivées.

Warez + TGI = juste de la malchance

Le TGI de Bonneville n'a pas été piraté. Juste un - problème - d'adressage IP.

6 mois de prison ferme pour avoir piraté Numericable

Un internaute français de 22 ans écope de 6 mois de prison ferme pour avoir piraté le Fournisseur d´Accès à Internet Numericable.

Chasseur de Shell et injection SQL automatisés

20.000 sites piégés par une porte cachée ou une injection SQL. La nouvelle découverte, en 20 minutes chronos, faite par ZATAZ.COM via un logiciel dédié à la chasse aux backdoors.

Université des Correspondants Informatique et Libertés

L´Association Française des Correspondants Informatique et Libertés organise le 21 janvier prochain sa 3ème Université des Correspondants Informatique et Libertés.

Concours Coca Cola 2008

Vous venez de gagner un lot de 32.000 euros via un concours organisé par Coca-Cola. Une arnaque sans sucre.

Fuite de données via Google Bloc-notes

Un commercial de la société Vonage enregistré ses notes et données sensibles sur son espace privé Google Bloc-notes.

Un nouveau ver s'attaque aux réseaux d´entreprise

Une alerte concernant les nouvelles versions du ver Downadup. Ce ver infecte les postes de travail et serveurs Windows.

Espionnage informatique effectué par la police

Le département britannique de l´Intérieur annonce préparer un plan qui permettra à la police d´infiltrer et espionner les ordinateurs personnels de l´ensemble des citoyens.

Orange ne protegeait pas correctement les données de ses clients

Exclusif : Orange, filiale de France Télécom, ne protegeait pas les informations privées de plusieurs centaines de milliers de ses clients.

Fuites de données privées sur le site officiel de Cash Express

Exclusif: Le site officiel de l´enseigne Cash Express diffusait, sans le savoir, les CV des internautes à la recherche d´un emploi et des données privées de l´entreprises.

URL à pirate pour Flixster Facebook

L'espace FaceBook du portail communautaire Flixster pourrait servir à piéger les internautes. Explication.

La Caisse d'Epargne corrige sa faille

Un probléme informatique affichait des informations sensibles sur un des sites de la banque Caisse d'Epargne.

SOS Racisme sauvé des pirates

Une faille de sécurité découverte sur le serveur Internet de SOS Racisme ouvrait l'accès aux petits secrets de l'association.

Un site de rencontre sauvé des pirates informatiques

Le site de rencontres LovinSide a eu chaud. Un problème de sécurité a pu être corrigé grâce à l'aide d'un cyber-citoyen.

Goolag, la vache folle n'est pas morte

Les hackers du cDc, CULT OF THE DEAD COW, viennent de mettre en ligne GoolagScan, un scanner de site Internet à la sauce Google.

Réagissez à ce contenu