Les fuites de données personnelles des Français font les gros titres ces derniers jours. On a presque l’impression de jouer à « kika la plus grosse », un jeu dont nous sommes les héros (bien malgré nous). Mais ce jeu n’est pas nouveau, loin de là.

510 000 à l’Assurance Maladie… petit joueur !

Et pas besoin de remonter loin dans le temps. On ne va d’ailleurs volontairement pas aller plus loin que deux ans en arrière. Le 17 mars 2022, l’Assurance Maladie annonce que des « attaquants ont pu se connecter à des comptes dont les adresses e-mail avaient été compromises (19 comptes de professionnels de santé ont été identifiés) ».

L’aspiration des données commence : nom, prénom, date de naissance, sexe, numéro de Sécurité sociale et données relatives aux droits (déclaration d’un médecin traitant, attribution de la complémentaire santé solidaire ou de l’aide médicale d’État, éventuelle prise en charge à 100 %). 510 000 assurés sont concernés par cette fuite de données avant que l’attaque ne soit bloquée.

10 millions chez Pôle emploi, le tiers payant surenchérit à 33 millions

Allez, on passe à l’été 2023 et on change de registre avec un des prestataires de Pôle emploi (Majorel) qui se fait dérober les nom, prénom, statut actuel ou ancien de demandeur d’emploi et numéro de Sécurité sociale. Dix millions de personnes sont potentiellement concernées.

En 2024, les choses sérieuses commencent, avec le duo de prestataires du tiers payant : Viamedis et Almerys. Oubliez les 10 « petits » millions, on passe à « plus de 33 millions de personnes ». Cette fois, la fuite concerne l’état civil (nom, prénom…), la date de naissance, le numéro de Sécurité sociale, le nom de l’assureur santé et les garanties du contrat.

France Travail fait « all-in » avec 43 millions

Cette semaine, France Travail (ex-Pôle emploi) a mis tout le monde d’accord avec les données de 43 millions de personnes « potentiellement » dérobées. L’ex-Pôle emploi quadruple donc la mise par rapport à l’année dernière. On retrouve le même genre d’informations personnelles : nom, prénom, numéro de Sécurité sociale, date de naissance, identifiant France Travail, adresses mail et postales et numéros de téléphone.

Selon la dernière estimation de l’INSEE, la France compte un peu plus de 68 millions d’habitants. Si on ne garde que la population ayant 20 ans minimum, on arrive à un peu plus de 52 millions de personnes. Un autre organisme pour tenter de battre le record de France Travail ?

Il y a déjà eu bien pire. Yahoo, par exemple, s’est fait pirater trois milliards de comptes (excusez du peu). On peut aussi citer « MOAB », la compilation gargantuesque de fuites avec pas moins de 26 milliards d’enregistrements.

Dans le cas de France Travail se pose aussi la question de la durée de conservation. En effet, dans le communiqué, il est précisé que la base de données contenait des « données personnelles d’identification des personnes actuellement inscrites, des personnes précédemment inscrites au cours des 20 dernières années ainsi que des personnes non inscrites sur la liste des demandeurs d'emploi, mais ayant un espace candidat sur francetravail.fr ».

À plusieurs de nos confrères, France Travail affirme être « en droit de conserver les données enregistrées pendant 20 ans après la dernière cessation d'inscription, conformément à l'alinéa 1 de l'article R.5312 - 44 du Code du travail ». Contactée par Tech&Co, la CNIL précise que la durée de conservation « sera examinée ». La Commission ajoute qu’il est « prématuré » de se prononcer pour l’instant.

Trio gagnant : noms, prénoms et numéros de Sécurité sociale

Dans les quatre cas que nous venons d’évoquer, les données bancaires n’étaient pas dans la liste des informations dérobées. C’est toujours ça de pris (enfin le contraire, bref... vous avez compris), mais on préférerait largement que toutes les données – bancaires et personnelles – soient traitées avec autant de soin et de précaution.

On retrouve dans les quatre grosses fuites des noms, prénoms et le numéro de Sécurité sociale qui va avec. Ce dernier donne à lui seul le sexe, l’année, le mois et le département de naissance. « Unique et personnel, le numéro de Sécurité sociale sert à vous identifier simplement auprès de votre caisse primaire d'assurance maladie, mais aussi de tous les autres organismes de Sécurité sociale », précise l’Assurance Maladie.

Les risques sont toujours les mêmes : du phishing grâce aux données récoltées afin de tenter d’en récupérer d’autres ou de vous soutirer de l’argent. Surtout que l’on peut combiner ces informations avec d’autres fuites sur Internet.

Il n’y a pas grand-chose à faire pour se protéger

Face à de tels organismes, il n’y a pas grand-chose à faire malheureusement pour se protéger. On est obligés de faire confiance à l’Assurance Maladie, à France Travail, au tiers payants… On ne peut pas utiliser d’autres informations que les nôtres, officielles.

On aimerait donc en retour que ces organismes disposent des moyens financiers et humains pour assurer une bonne sécurité des données personnelles dont ils ont la charge. Une faille et une fuite, cela peut arriver, mais au cours des derniers mois, la multiplication des fuites n’est pas rassurante et on arrive à des extrêmes inquiétants.

Certains pourraient être tentés de se dire qu’il est trop tard. Avec les données de plusieurs dizaines de millions de Français dans la nature, il y a de fortes chances que les vôtres fassent partie du lot. Internet est ainsi presque devenu un annuaire à ciel ouvert des français. Et le problème, c’est qu’une fois que les données sont sur le web, il est difficile – pour ne pas dire impossible – d’en effacer à coup sûr toutes les traces.

Cybersécurité : accélérer la « stratégie nationale d'accélération »

Mais, il n’est jamais trop tard pour bien faire ; il faut s’en donner les moyens. En 2019, d’ailleurs, un article « La cybersécurité, une filière d’avenir » était publié sur… France Travail (enfin Pôle emploi à l’époque). « La pénurie des talents en matière de cybersécurité se fait déjà sentir et risque de s’intensifier dans les prochaines années », pouvait-on y lire. Une prémonition.

Le gouvernement a lancé en 2021 une « stratégie nationale d'accélération pour la cybersécurité », avec l’ambition de tripler le chiffre d’affaires du secteur cyber et de créer 37 000 emplois d’ici 2025. Début 2022, le Campus cyber était inauguré comme étant « l’incarnation de la politique française en matière de cybersécurité ».

Un des buts du projet était de « renforcer la cybersécurité des administrations et des collectivités », avec 136 millions d’euros pour « élever significativement le niveau de sécurité numérique de l’État et des services publics ». Une chose est sûre : il reste encore du travail, comme les 24 derniers mois viennent de le prouver.