Les données personnelles d’experts de la cyberdéfense française ont été exposées sur Internet
« La cybersécurité, c’est un sport collectif », avait lancé Florence Parly, la ministre des Armées, en commençant son discours prononcé à l’occasion du Forum international de la cybersécurité, le 23 janvier dernier.
Et comme pour tout sport collectif, une équipe n’est jamais à l’abri d’une bévue individuelle. Certaines ne prêtent pas à conséquence, comme celle commise par Hugo Lloris, le gardien de l’équipe de France de football, lors de la finale de la coupe du Monde. D’autres, en revanche, peuvent coûter la victoire. L’arrière du XV de France, Yoann Huget, en sait quelque chose, lui qui a laissé le gallois George North aller à l’essai après avoir échappé le ballon juste devant la ligne.
Pourtant, sans les arrêts décisifs d’Hugo Lloris, il n’y aurait probablement pas eu de deuxième étoile sur le maillot des bleus. Et lors du match contre le Pays-de-Galle, Yoann Huget avait marqué un superbe essai en première période.
Aussi, être bon dans sa discipline ne veut pas dire infaillible. Et le Club de la sécurité de l’information français [CLUSIF] vient de l’apprendre à ses dépens.
Le CLUSIF est une association qui vise à « favoriser les échanges d’idées et de retours d’expériences au travers de groupes de travail, de publications et de conférences thématiques » autour de la cybersécurité. Ce qui fait que l’on trouve parmi ses adhérents les principaux responsables de la sécurité informatique, que ce soit dans le privé ou le public.
Or, selon une information révélée par le Canard Enchaîné, les fiches personnelles des adhérents du CLUSIF, parmi lesquels figurent des experts de la Direction générale de l’armement et, plus largement, du ministère des Armées, ont été laissées en libre accès sur Internet. Plus précisément, il suffisait de saisir les mots clés « clusif » et « csv » dans un moteur de recherche pour les obtenir.
Le CLUSIF a cependant immédiatement réagi à cette information pour le moins embarrassante et prévenu ses adhérents, via un communiqué.
« Le CLUSIF tient à vous informer qu’il a été prévenu que des fichiers de données à caractère personnel relatives à ses membres auraient pu être consultés par des tiers depuis des moteurs de recherche », a-t-il commencé par admettre.
📌Le CLUSIF vous informe d'un incident de sécurité sur son site : https://t.co/P9beXDP6PW pic.twitter.com/5sC39O0Rab
— CLUSIF (@clusif) 13 février 2019
« Nos équipes techniques ont procédé aux vérifications nécessaires et ont immédiatement mis en œuvre les mesures correctrices. Compte tenu de cet événement, le jour même, une notification a été réalisée auprès de la Commission nationale de l’informatique et des libertés et nos membres ont été informés », a ensuite indiqué le CLUSIF.
Et d’ajouter : « Nous accordons à la protection des données la plus grande importance et cherchons sans cesse à maintenir la sécurité de nos services. Cette situation ne reflète en rien le travail du personnel et des bénévoles de notre association. »
Reste que ces données personnelles quasiment en libre accès sur Internet peuvent être utilisées pour mener des cyberattaques selon la technique dite du « Spear Phishing » [ou « harponnage »], laquelle fait appel à l’ingénierie sociale. En effet, son principe consiste à rassembler le maximum d’informations relatives à une « cible » afin de lui envoyer un courriel personnalisé [afin d’endormir sa vigilance] mais contenant un logiciel malveillant.
Ce mode opératoire est généralement utilisé pour mener des attaques informatiques majeures contre les grandes entreprises et les administrations sensibles.
