Fuite de données personnelles au Quai d’Orsay
À vos Stabilo !
Le 13 décembre 2018 à 11h22
2 min
Internet
Internet
Le ministère des Affaires étrangères révèle le vol des informations des « personnes à prévenir » en cas de problème d'un voyageur. Les adresses email et numéros de téléphone sont concernés.
Après huit ans d'activité, le service Ariane a droit à sa fuite de données. Dans un communiqué, le ministère des Affaires étrangères confirme le vol d'informations personnelles, d'abord signalé par email à des personnes concernées. Le service permet aux voyageurs d'obtenir des informations de sécurité sur leur déplacement et d'inscrire des personnes à contacter.
Comme le note France Diplomatie, ce sont justement ces données qui ont fuité : nom, prénom, numéro de téléphone et adresse email des contacts. Leur nombre n'est pas précisé.
Le ministère dit avoir alerté la Commission nationale informatique et libertés (CNIL) et saisi la justice. Il garantit avoir pris les mesures nécessaires pour empêcher une nouvelle fuite, sans les détailler. Le service reste fonctionnel. « Ces incidents ne remettent pas en cause sa fiabilité et son utilité pour la sécurité des déplacements des Français à l’étranger », estime le Quai d'Orsay.
« On ne peut exclure que ces données puissent être utilisées par des tiers à des fins publicitaires (par courriel ou SMS), d'hameçonnage (« phishing ») ou de tentative d'escroquerie », prévient le ministère dans son email aux victimes. Jérôme Notin, directeur général du groupement Acyma, recommande de doubler de vigilance sur les messages reçus par l'adresse concernée.
Le ministère propose de contacter [email protected].
Commentaires (45)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 13/12/2018 à 11h31
J’ai reçu le message ce matin.
On peut saluer la réaction du ministère.
Le 13/12/2018 à 13h39
;)
Le 13/12/2018 à 13h54
Selon la jurisprudence Google+, il faut donc fermer le Quai d’Orsay
" />
Le 13/12/2018 à 13h55
C’est 3ans, si demain ils refont un voyage , pas besoin de re-renseigner les données.
https://www.cnil.fr/fr/limiter-la-conservation-des-donnees
Par contre la RGPD demande a ce qu’il y ai une communication claire et rapide en cas de piratage ce qui semble avoir été fait.
(Je viens d’en parler avec mon DPO justement)
Le 13/12/2018 à 13h56
Me femme dev encore sous struts (premier du nom) en entreprise! :(
Le 13/12/2018 à 13h57
Le piratage d’Equifax est également dû à Struts, c’est en effet encore extrêmement utilisé en production.
Le 13/12/2018 à 13h58
Tu as des sources ? tu penses vraiment que celui du quai dorsay vient de la?
Le 13/12/2018 à 14h13
Ils n’ont certes pas tout compris, mais au moins ils essaient de se mettre à l’Open Data.
Toutes les administrations n’en font pas autant!
Le 13/12/2018 à 14h15
Ariane utilise le framework Hornet (références dans le source de la page principale d’Ariane, framework développé par les services de l’Etat français), qui mets en oeuvre Struts. La coincidence est troublante.. :)
Twitteret plus rigolo :
Twitter
Le 13/12/2018 à 14h19
Tu es gentil, mais lis donc la page que tu mets en lien avant d’affirmer n’importe quoi !
La seule mention à 3 ans est celle-ci :
La Cnil recommande que les coordonnées d’un prospect qui ne répond à aucune sollicitation pendant 3 ans soient supprimées.
On n’est pas dans ce cas-là : il n’y a pas de prospect.
La phrase juste en-dessous de celle-ci dit :
Les données personnelles doivent donc être conservées et accessibles par les services opérationnels uniquement le temps nécessaire à l’accomplissement de l’objectif poursuivi lors de leur collecte.
Je maintiens mon affirmation initiale d’autant plus que les données personnelles dont on parle n’ont pas été fournies par celui à qui elles appartiennent mais par un proche. On dira que ce traitement répond aux exceptions à l’autorisation citées dans la loi.
Donc garder les donénes un peu plus longtemps que la durée du voyage au cas où celui-ci se prolonge, pourquoi pas, mais 3 ans, surtout pas !
Edit : je n’avais pas vu l’allusion au DPO : conseille à ta boîte d’en changer s’il a dit que dans le cas du Quai d’Orsay, la durée de 3 ans s’appliquait, à moins que ça soit toi qui as mal compris.
Le 13/12/2018 à 14h23
Pas sûr que ce soit de l’Open Data permis sans anonymisation.
" />
Pour info, j’ai envoyé un petit mail au ministère pour demander des précisions (date de la fuite, de la découverte, nombre de personnes concernées, cause de la fuite, éventuels indices d’exploitation des données…). À voir s’ils répondent.
Le 13/12/2018 à 14h35
Le 13/12/2018 à 14h37
Le 13/12/2018 à 15h06
J’ai eu mon mail. Merci c’est sympa….
Le 13/12/2018 à 15h27
De ce que j’ai eu comme confidences sur l’oreiller ils ont des architectes applicatifs dans une tour d’ivoire qui ne sont pas vraiment au top pour le MCO de leurs “créations”. C’est assez peu étonnant ce qui leur arrive du coup.
" />
" />
Il paraitrait même que l’informatique du MAE sont des fonctionnaires tellement odieux qu’ils peinent à trouver des prestataires qui acceptent de bosser pour eux. Je bosse actuellement avec une personne qui les a fuis
Des diplomaaaaates pas si diplomates quoi
#bruitsdechiottes
#glassdoor
Le 13/12/2018 à 15h51
Le 13/12/2018 à 16h33
Le RGPD s’applique ?
4% de 2200 milliards d’euros… ca fait ?
Le 13/12/2018 à 16h43
La France…
Le 13/12/2018 à 18h24
Est-ce que les pirates ont aussi le nom du voyageur à qui est rattaché cette personne de contact ? Si oui y’a moyen de faire du bon phishing en effet.
Le 13/12/2018 à 19h34
Hum… “Il paraitrait même que”… Ce n’est pas bien de généraliser les ont dit d’une personne.C’est une petite administration (à coté des armées, Bercy, etc.) avec un terrain de jeux informatique important dans de nombreux domaines pour les informaticiens. Ils recrutent régulièrement (voir la Bourse aux emplois publics sur internet) et avoir quelques années d’expériences chez eux sur un CV est assez vendeur dans certaines grosses entreprises. Je connais pas mal de jeunes qui y ont fait leurs premières armes, et pas mal de prestataire très heureux de travailler avec eux ;)Alors les ont dit…
Le 13/12/2018 à 21h54
ils ont 72 heures max pour notifier sinon il faut “justifier” le retard
Le 14/12/2018 à 07h35
Désolé d’être naif, mais je pensais qu’on stockait les données de façon chiffrée… Ou pas être qu’elles ne sont pas assez sensibles ?
Le 14/12/2018 à 08h31
Le 14/12/2018 à 09h37
chiffrement
" />
(sinon c’est de la compta)
Le 14/12/2018 à 11h59
Le chiffrement ça sert si on te vole les disque durs ou pour les communications principalement. Si l’appli se fait pirater ça sert pas à grand chose…
Le 14/12/2018 à 12h26
Dans la FAQ indique que c’est le signalement à la CNIL qui est soumis aux 72h, pas l’information au personnes concernées.
République Française
Quand cette attaque a-t-elle été détectée ?
Le Ministère de l’Europe et des Affaires étrangères a pris connaissance de l’attaque le 5 décembre 2018 […]
Conformément aux exigences légales, le Ministère de l’Europe et des
Affaires étrangères en a informé la CNIL dans les 72 heures. Nous avons
ensuite lancé une procédure d’information auprès de toutes les personnes
concernées.
Le 14/12/2018 à 12h29
La suite dans #LeBrief de ce matin, avec les ajouts de la FAQ publiée par le ministère hier soir. :)
Le 14/12/2018 à 13h28
Ben je ne connais que des gens qui les ont quitté dégoutés perso, pour des raisons très variées mais qui dressent un tableau peu reluisant. C’est pas des on dit, c’est des témoignages nombreux et de première main (ils ont une armée de prestataires info et de contractuels qui passent chez eux). Et comme tu dis c’est pas beaucoup de monde donc généraliser n’est pas du tout abusif.
Ca a l’air mieux dans les devs orientés sécurité mais la partie gestion c’est une horreur, la caricature de la fonction publique mal gérée et des fonctionnaires surprotégés, riches, arrogants et incompétents qui balancent l’argent public dans des projets mal gaulés avec des méthodologies douteuses/mal maitrisées et des attitudes “rugueuses” vis à vis des prestataires (type prestataire PQ, tu te soulages dedans puis tu jettes quand tu as assez sali).
Et la mauvaise réputation dépasse largement l’informatique, sur Nantes du temps ou les passeports étaient gérés sur place c’était à peu près au même niveau que Mc Do niveau bagne à emploi étudiant.
Le 14/12/2018 à 14h08
Le 15/12/2018 à 22h19
Ça se tient.
" />
Le 16/12/2018 à 08h10
C’est du cryptage, il n’y a pas de clef et on ne peut pas retrouver les données originelles.
" />
Le 13/12/2018 à 11h33
Et la “faille” était de quel ordre ?
Le 13/12/2018 à 11h34
D’ordre confidentiel, probablement
" />
Le 13/12/2018 à 11h34
Le 13/12/2018 à 11h39
Avant de parler de réactivité, il faudrait connaître depuis quand le ministère est au courant de cette faille et savoir depuis quand estime-t-on que la faille ayant permis ce vol existait.
Parmi les fuites de données récent, de nombreux cas concernent des failles remontées depuis plusieurs mois, voir années et dans certains cas le vol a été remarqué plusieurs années après et la faille connue seulement au moment même de sa découverte.
Le ministère vient juste d’alerter, ce que la loi doit l’obliger à faire dans les plus bref délais. Nous avons aucun détail supplémentaire.
Le 13/12/2018 à 12h58
Le 13/12/2018 à 13h05
Ils précisent qu’il s’agit des informations spécifiées dans la partie “personne à prévenir en cas d’urgence”.
Rien n’est précisé dans le cas où c’est toi qui te déclarait voyageur.
J’ai reçu l’email ce matin, lié au voyage de mon frère d’il y a 2 mois.
Le 13/12/2018 à 13h22
Mon père a reçu ce mail ce matin. Il était dans la liste des personnes à prévenir depuis le printemps 2016, date à laquelle je préparais un voyage en Asie… Personnellement je ne l’ai pas reçu. J’ai aussitôt supprimé l’ensemble de mes données et les siennes du portail Ariane. Je n’avais jamais pensé à aller faire du ménage sur ce site, pensant que les données seraient supprimées automatiquement après la date de fin du voyage…
Le 13/12/2018 à 13h31
Il y a une durée de conservation qui excède celle nécessaire au regard des finalités comme tu avais indiqué une date de fin de
voyage.
Pas vraiment conforme au RGPD tout ça, ni à l’ancienne loi du 6 janvier 1978.
D’ailleurs, sur leur site, ils ne citent que la loi du 6 janvier 1978 (avant la modification par ordonnance d’hier) et pas le RGPD qui est pourtant applicable.
Le 13/12/2018 à 13h34
STRUTS.
Le 13/12/2018 à 13h36
Pourquoi c’est pas RGPD?
La RGPD protège pas de tout piratage
Le 13/12/2018 à 13h36
Source ?
Le 13/12/2018 à 13h38
Le 13/12/2018 à 13h39
M’as tué…
" />
Le 13/12/2018 à 13h39
Ce n’est pas conforme au RGPD et à la loi du 6 janvier 1978 parce que les données ont été conservées trop longtemps. Elles auraient dû être effacées rapidement après la fin du voyage.
Minimiser la quantité de données traitées minimise la quantité de données pouvant être piratées.