Dans l’introduction de son rapport, l’Agence nationale de la sécurité des systèmes d'information rappelle à juste titre que « l’année 2023 et le début de l’année 2024 ont été marqués par de nombreux incidents ciblant des entités du secteur social gérant des données à caractère personnel ».

Des fuites massives sur des dizaines de millions de personnes

Nous en parlions d’ailleurs dans un édito au début de l’année. Les fuites ont même commencé en 2022 avec un demi-million de personnes à l’Assurance Maladie. C’est très peu comparé à la suite. En effet, ce sont 10 millions de personnes dont les données ont fuité chez Pôle emploi, 33 millions chez deux prestataires du tiers payant (Viamedis et Almerys) et enfin un « all-in » de France Travail avec 43 millions de personnes concernées.

On y retrouve des données personnelles comme les nom, prénom, numéro de Sécurité sociale, date de naissance ainsi que les adresses email et physique. Avec la taille gigantesque des bases de données, il faudrait avoir de la chance pour passer entre les gouttes. Une fois ces données dans la nature, il n’est plus possible de les changer pour une bonne partie d’entre elles.

• [Édito] Internet, un annuaire des Français à ciel ouvert

L’ANSSI relève « des insuffisances de protection »

Dans son rapport, l’ANSSI rassemble les enseignements et constats de ses équipes lors de la gestion des incidents. Tous secteurs confondus, ils sont au nombre de 183 incidents pour 2023 et début 2024. Dans le lot, « 60 sont la conséquence d’une compromission et d’un chiffrement par rançongiciel ».

L’état des lieux n’est pas tendre : « Leur analyse met en évidence des insuffisances de protection dans la façon dont ces données sont traitées et les moyens par lesquels on y accède, et ce, dès la conception des projets qui en traitent ».

L’ANSSI y voit déjà une première raison : « Dans la logique métier, la donnée personnelle n’est souvent pas perçue comme intrinsèquement plus sensible que les données techniques. De ce fait, peu de mesures de sécurité sont appliquées lors de sa manipulation ou dans le contrôle des accès effectués ». Or, les responsables sont censés prendre « toutes les mesures nécessaires pour assurer la sécurité et la confidentialité des données personnelles ».

Un florilège de ce qu’il ne faut pas faire

Premier problème, les usagers peuvent parfois manipuler les données avec des privilèges élevés, sans raison particulière (du moins autre qu’aller au plus simple en donnant accès à tout ou presque, ce qui n’est PAS une bonne pratique). L’ANSSI a ainsi « constaté que des comptes de prestataires externes – sans authentification forte – ont été compromis et utilisés pour exfiltrer l’intégralité d’une base de données ».

Il est aussi question d’une gestion des authentifications « souvent peu moderne », laissant ainsi une marge de manœuvre importante pour les attaquants. Un exemple : des identifiants et mots de passe partagés et réutilisés. Les attaquants n’ont alors pas besoin de déployer l’artillerie lourde. Ils utilisent simplement des accès légitimes, récupérés via des campagnes de phishing ou en rachetant des bases de données avec des identifiants dérobés. Faute d’avoir mis à jour ou bloqué les mots de passe compromis, les pirates peuvent rapidement et facilement accéder aux systèmes.

L’absence de règles ou de limites sur les consultations, de supervision et le manque de journalisation sont également pointés du doigt. Les équipes ne peuvent alors pas détecter les comportements suspects, et donc agir en conséquence avant que ce ne soit trop tard ou grave. Autre exemple inquiétant donné par l’ANSSI : « l’attaquant s’est connecté à la plateforme de consultation des données, et en simulant des millions de recherches, il a pu, par simple navigation, extraire le contenu ».

L’Agence affirme qu’il est « nécessaire d’implémenter un mécanisme d’authentification forte ou a minima multifacteur, a fortiori si l’application est exposée à des réseaux non maitrisés (ex : Internet) ». Il faut interdire l’usage de comptes génériques par défaut, segmenter les environnements serveurs, journaliser les actions… Des règles élémentaires de bon sens.

Surveiller les réseaux et les actions

Autre point soulevé : les accès techniques aux plateformes qui peuvent « être détournés de manière consciente – exploitation d’un compte VPN compromis – mais également de manière involontaire ». L’ANSSI évoque un prestataire qui a utilisé ses accès administrateurs pour exfiltrer, à plusieurs reprises, une base de données. Ces « actions n’ont été que tardivement détectées par les équipes de l’entité en question malgré plusieurs facteurs aggravants qui auraient dû lever une alerte : flux d’exfiltrations massifs, horaires d’activité non conformes… ».

Plusieurs recommandations sont formulées. Les mesures de sécurité doivent ainsi « nécessairement être déployées partout où la donnée est manipulée ». En outre, les prestataires ou sous-traitants ne devraient intervenir que dans un environnement dédié avec des accès réduits et une supervision renforcée. Une politique de gestion des comptes et des droits doit aussi être mise en place, surveillée ET mise à jour aussi souvent que nécessaire. Par exemple, couper les accès un peu avant le départ d’un collaborateur pour éviter une exfiltration, supprimer les comptes inactifs, etc.

Notifier la CNIL « au moindre doute »

L’ANSSI rappelle enfin que, « au moindre doute quant à une potentielle exfiltration de données personnelles, il est recommandé de faire une notification initiale à la CNIL ». Et si la fuite n’est finalement pas une réalité, il sera toujours possible de la clore avec un constat d’incident non avéré.

L’ANSSI explique aussi que « la communication de l’organisation victime doit être particulièrement soignée car de nombreux experts (souvent auto-proclamés) ou personnalités sont susceptibles de se saisir de l’incident et de contester les propos officiels si ceux-ci s’avèrent imprécis ou erronés ».

Comm de crise : ne pas mentir, ne pas surjouer…

L’ANSSI recommande de ne pas adopter « un ton anxiogène et d’aggraver volontairement la sophistication de la cyberattaque » pour une raison toute simple : « la communauté cyber s’en rendra vite compte ». À contrario, on évite aussi de tout mettre sur le dos du stagiaire (ceci est une recommandation de Next, pas de l’ANSSI).

On peut citer l’exemple de la SCAM qui affirmait dans sa communication, suite à une fuite de données, avoir mis en place des « efforts soutenus en matière de prévention et de protection »… tout en envoyant depuis des mois (au moins) des mots de passe en clair par email.

• Cyberattaque Scam : des « efforts soutenus » de protection… aux mots de passe envoyés en clair

La communication de crise est un exercice périlleux, surtout si les équipes ne sont pas préparées. Nous l’avons vu avec la série de fuites récentes : Boulanger, Cultura, DiviaMobilités, Truffaut, Cybertek et Grosbill (qui font partie du même groupe), l’Assurance retraite et RED by SFR.

Par exemple, Truffaut refuse de donner le nombre de clients concernés et renvoie vers la CNIL, qui n’a pas vocation à assurer la communication des entreprises. RED by SFR se féliciterait presque que la fuite se « limite » aux nom, prénom, coordonnées, données contractuelles (type de forfait, contenu de la commande), IBAN, numéro d’identification du smartphone et de la carte SIM.

Le rapport de l’ANSSI se termine par une annexe sur les conseils de communication.