En juin, la Société civile des auteurs multimédia (Scam) expliquait avoir « été victime d'une cyberattaque de type ransomware », en prenant soin de préciser que c’était malgré des efforts « soutenus en matière de prévention et de protection ».

En 2025, la Scam envoie toujours les mots de passe en clair

Nous étions alors assez surpris de voir que les mots de passe étaient renvoyés en clair durant la procédure de mot de passe perdu, avec l’identifiant en prime dans le même courriel. Si votre boîte email est compromise, c’est la catastrophe. Cette pratique est encore en place ce jour, d’après nos constatations.

• Cyberattaque Scam : des « efforts soutenus » de protection… aux mots de passe envoyés en clair

Si personne ne peut se prétendre être à l'abri d’une cyberattaque (la fin de l’année 2024 et le début de 2025 le prouvent bien), on peut/doit faire son maximum pour limiter les risques. Un point important concerne justement la gestion des mots de passe des utilisateurs. La règle est simple : il ne doit pas être stocké ni envoyé en clair par email. Free a d’ailleurs été condamné pour ces pratiques (entre autres) par la CNIL.

Rappel : « les mots de passe ne doivent jamais être stockés en clair »

Les recommandations de la CNIL sont limpides : « Les mots de passe ne doivent jamais être stockés en clair. Lorsque l’authentification a lieu sur un serveur distant, et dans les autres cas si cela est techniquement faisable, le mot de passe doit être transformé au moyen d’une fonction cryptographique non réversible et sûre, intégrant l’utilisation d’un sel ou d’une clé ».

Dans le cas de la Scam, la Société peut d’une manière ou d’une autre accéder aux mots de passe. Soit ils sont stockés en clair, soit ils sont chiffrés mais déchiffrables, alors que cela ne devrait pas être le cas. Suite à notre actualité sur le sujet l'été dernier, nous avions contacté le DPO de la Scam le 21 juin, avec plusieurs questions (et une copie de l’email contenant le mot de passe en clair) :

« Comment se fait-il que vous m’envoyiez mon mot de passe en clair dans cet email ? Les règles de base imposent que le mot de passe soit haché de manière irréversible dans votre base de données.
Que se passe-t-il ? Les mots de passe sont stockés en clair ? Ils sont chiffrés, mais vous avez la clé de déchiffrement ? Qui a accès à mes données ? La cyberattaque dont vous avez été victime met-elle en danger mes données ? ».

Le DPO transmet notre demande… et rien

Le 25 juin, le DPO nous répond et affirme avoir « transmis » notre mail à la direction des systèmes d’informations de la Scam afin d’obtenir des réponses. Il nous explique notamment que « l’espace membre des auteurices n’est pas directement affecté pas la cyber-attaque dont la Scam a été victime. D’après les investigations toujours en cours, il ne semble pas non plus en être le vecteur d’attaque ».

Par contre, aucune réponse concernant le mot de passe envoyé en clair par email. Le DPO termine par : « Mais soyez assuré que je reviendrai vers vous dès que possible pour vous apporter des réponses à vos questions ». Ce 28 janvier, nous attendons encore.

On dépose une plainte en ligne à la CNIL

En septembre, faute de réponse, nous décidons de déposer une plainte à la CNIL avec, en pièce jointe, une copie des échanges par email avec le DPO de la Scam. La CNIL répond rapidement en demandant une copie des échanges avec la Scam. Document déjà fourni avec la demande initiale, mais que nous renvoyons quand même.

Un peu plus de deux semaines après, la Commission répond : « Votre demande a été transmise au service de l'exercice des droits et des plaintes de la CNIL ». Sans nouvelle, nous contactons la CNIL le 8 janvier pour expliquer l'absence de retour et que la Scam envoie toujours les mots de passe en clair.

La CNIL rappelle à l’ordre la Scam et clôt le dossier

Réponse complète de la CNIL du 9 janvier :

« Monsieur, 
Vous avez adressé à la Commission nationale de l’informatique et des libertés (CNIL) une réclamation relative aux garanties de sécurité et à la confidentialité appliquées aux données à caractère personnel mises en œuvre par SOC CIVILE DES AUTEURS MULTIMEDIAS.
La CNIL est intervenue à l’appui de votre demande auprès de l’organisme mis en cause. Elle lui a rappelé ses obligations et l’a alerté sur la nécessité de respecter les règles en vigueur.
Pour obtenir plus d’informations sur la règlementation applicable, vous pouvez consulter le site web de la CNIL : https://www.cnil.fr/fr/mots-de-passe-une-nouvelle-recommandation-pour-maitriser-sa-securite.
Compte-tenu de ces éléments, je vous informe de la décision de la CNIL de clore votre plainte »

La plainte étant close, impossible de répondre à la CNIL. En bas du message, après la signature du correspondant, on retrouve une note : « Sous réserve de votre intérêt à agir, vous pouvez contester cette décision de clôture en saisissant le Conseil d’État dans un délai de 2 mois à compter de la date de notification de ce courrier ».

…alors que rien n’a changé

Maintenant que le dossier est clos, il n’est pas possible de répondre à la CNIL. Comme indiqué par la CNIL, il reste possible de saisir le Conseil d'État (sans recourir à un avocat) pour « contester cette décision de clôture », mais ce n’est pas une mince affaire pour un simple quidam.

Mais on se demande encore comment on a pu en arriver à une telle situation : la Scam n’a rien changé et continue ses mauvaises pratiques en matière de mot de passe, la CNIL clôt la plainte après avoir « alerté sur la nécessité de respecter les règles en vigueur » et le DPO ne répond pas.

Ce 8 janvier, nous avons recontacté le DPO pour expliquer de nouveau la situation et lui rappeler qu'aucune réponse n'a été apportée à la majorité des questions soulevées. Cet email est resté lettre morte. Trois semaines après cette relance, au lendemain de la journée de la protection des données, on se dit qu’il reste du travail...

• Cette année, la Journée de la protection des données à une saveur particulière

La question est maintenant de savoir ce que doit faire un citoyen lambda. On regrette que la CNIL ne se montre pas plus autoritaire dans son action, se contentant d’un rappel qui n’a visiblement été suivi d’aucun changement. Nous ne sommes ni les premiers ni les seuls à relever ce point.

Le manque d’action de la CNIL dénoncé par certains

Il y a maintenant un an, Aeris (bien connu sur les réseaux sociaux pour son combat en faveur du respect du RGPD) accusait la CNIL de ne pas remplir « sa mission de veiller au respect du RGPD ».

L'association P·U·R·R (Pour un RGPD respecté), hébergée par Aeris, est montée au créneau avec une lettre ouverte à la CNIL demandant une « refonte profonde des procédures à la CNIL », suivie d’une réponse de la Commission et d’une réponse à la réponse de l’association.

En décembre, Mathias Moulin (secrétaire général adjoint de la CNIL) défendait la Commission sur la question des sanctions, jugées trop faibles : « Entre 2018 et 2024, nous avons changé de braquet. Nous n’avons pas une logique punitive, mais plutôt de mise en conformité des acteurs. […] On a vraiment une volonté d’augmenter le nombre de sanctions. Mais pas punir pour punir. On prône la mise en conformité avant tout ».

• La CNIL n’a « pas une logique punitive », Free bat un record sur les plaintes
• La CNIL accusée de ne pas remplir « sa mission de veiller au respect du RGPD »