Boulette à la Mairie de Roanne... et de Baisieux

Publié le 21-01-2010 à 17:51:56 dans le thème Réseau - Sécurité

Pays : France - Auteur : La rédaction

Pub : Tous les antivirus gratuits pour protéger et nettoyer votre ordinateur

Note des lecteurs: 2.6/5

Exclusif : Pour les vœux 2010, la mairie de Roanne s´invite sur le web. Mauvaise idée, le courrier contenait plusieurs centaines de données privées. A Baisieux, c'est le site web qui bave !

La commune de Roanne, dans la Loire (42), est comme la grande majorité des villes Françaises, elle se lance sur Internet pour "communiquer". Le site web est bien réalisé, il propose des options non négligeables et biens pensées. Le site a d'ailleurs reçu, en 2009, le 1e prix aux Trophées de la communication. Un espace numérique qui laisse penser que les élus et les employés municipaux se veulent proche et aux services des administrés. Un peu trop proche même ! Une boulette de taille est venu tacher cette belle ambiance numérique. La Mairie a envoyé une invitation électronique pour les voeux du 1e magistrat. Maronnier municipal qui sera proposée cette année le 26 janvier prochain. Les internautes Roannais inscrits sur le site officiel de la ville se sont retrouvés avec, non pas l'invitation, mais un bon gros fichier .CSV contenant plus de 1.300 adresses électroniques, avec noms, prénoms, ... La ville compte 37.645 habitants.

De son côté, la commune de Baisieux (59) a laissé plusieurs centaines de données en accès libre sur la toile, via un espace d'administration un peu bancal. Un lecteur, originaire de cette commune du nord de la France, nous a expliqué que l'accès sécurisé du site ne l'était pas du tout. Nous avons pu le constater, l'accès à l'espace "Service On Line de la Mairie de Baisieux" était bloqué par une demande d'identifiant et mot de passe. Sauf qu'il suffisait de cliquer sur le bouton "Login" sans rentrer le moindre sésame pour arriver sur les données privées de centaines d'administrés. Nom, prénoms, adresses, téléphones, ...

Un lien, de type /XXX/membre&id=00, permettait d'accèder aux informations de chaque habitants de cette commune. Il suffisait de remplacer le chiffre, ici 00, par 01, 02, 100, 250, 400, ... pour arriver sur le compte d'un Basilien ou Basilienne différents. A noter que la faille a été corrigée.

La proposition de loi sur l’obligation de dénonciation des failles de sécurité en matière de données personnelles des sénateurs Detraigues et Escoffier devrait, espérons-le, changer le comportement des "gestionnaires" de site web car dans ce dernier cas, les administrés touchés par cette erreur interne n'ont pas été informés.