C’est enfin l’épilogue d’une histoire qui a débuté il y a un an, alors que la SCAM (Société Civile des Auteurs Multimédia) était victime d’une « cyberattaque de type ransomware ». Cela peut arriver à tout le monde, l’important est dans la manière de réagir, de renforcer ses sécurités et de communiquer.

Des « efforts soutenus »… mais des mots de passe envoyés en clair

La SCAM parlait d’« efforts soutenus en matière de prévention et de protection de [son] système d’information ». Nous avions un peu plus de mal avec cette affirmation, pour une raison assez simple : nous avions remarqué que la SCAM envoyait les mots de passe « perdus » en clair, par email, avec en prime un rappel de l’identifiant. Et ce n’est pas le nouveau mot de passe qui est envoyé, c’est bien l’ancien.

• Cyberattaque Scam : des « efforts soutenus » de protection… aux mots de passe envoyés en clair

C’est contraire aux règles de bases : « Les mots de passe ne doivent jamais être stockés en clair. Lorsque l’authentification a lieu sur un serveur distant, et dans les autres cas si cela est techniquement faisable, le mot de passe doit être transformé au moyen d’une fonction cryptographique non réversible et sûre, intégrant l’utilisation d’un sel ou d’une clé », rappelle la CNIL.

Presque un an d’attente pour changer la procédure

Nous avions contacté dans la foulée le DPO de la SCAM, sans obtenir de réelle réponse sur la question des mots de passe envoyés en clair par email à l’époque. En février, après une relance de notre part, le DPO nous indique que « parmi les chantiers qui ont suivi cette attaque celui d’une réforme de cette procédure était bien sûr envisagée. Et je suis en mesure de vous annoncer qu’elle aboutira courant mars prochain ».

Le DPO nous affirme au passage que « les mots de passe ne sont pas stockés en clair. Ils sont chiffrés mais nous n’avons pas les clefs de déchiffrements. Aucun personnel de la SCAM n’y a accès ». En tout état de cause, la procédure est réversible puisque nous recevons notre ancien mot de passe en clair par email, alors que cela ne devrait pas être possible.

C’est finalement avec un peu de retard que la procédure a changé. D’après nos constatations, le mot de passe était encore envoyé en clair le 11 avril, mais ce n’est plus le cas aujourd’hui. À la place, un lien (valable 30 minutes) pour réinitialisation de mot de passe avec un formulaire en ligne.

Une plainte à la CNIL, un rappel des obligations

En septembre, plusieurs mois après avoir contacté le DPO, nous avions déposé une plainte à la CNIL. Elle était intervenue auprès de l’organisme afin de lui rappeler « ses obligations et l’a alerté sur la nécessité de respecter les règles en vigueur ». La Commission avait dans la foulée clos la plainte, même si l’envoi des mots de passe se faisait toujours en clair.

• Mot de passe envoyé en clair : on dépose une plainte à la CNIL et… rien ne bouge

Vous avez d’autres exemples ?

Bref, c’est enfin une affaire terminée, mais c’est dommage d’avoir dû attendre un an et passer par une plainte à la CNIL avant d’en arriver là. Si vous avez connaissance de services qui envoient encore en clair des mots de passe en 2025, n’hésitez pas à nous les signaler via les commentaires, ou bien par e-mail.