Des accès mutuelles, fournisseurs et Sécu d'opticiens découverts sur le web

Selon lui, un document comportant des informations aussi sensibles que les mots de passe d'une quarantaine de mutuelles, de fournisseurs et de la Sécurité sociale s'est retrouvé dans l'espace numérique sans aucune protection. Pour mieux comprendre le risque et éviter que vous ne soyez confrontés à lui, Acuité a interviewé l'expert. 

Acuité : Comment avez-vous découvert cette faille informatique ? 
Damien Bancal : J'ai lancé il y a 18 ans « le protocole Zataz », un moyen de trouver des fuites de données et qui me permet d'alerter bénévolement les entreprises. Une grande part de mon travail consiste à rechercher des documents sur Internet (fichiers Word ou Excel etc.) ainsi que des traces de ces derniers pour en retrouver les sources. Or en enquêtant tout simplement sur le thème « les lunettes sur le web », il m'est apparu un lien qui m'a tout de suite interpellé : « bienvenue dans l'intranet de X » [le nom de la franchise est volontairement gardé secret, ndlr]. J'ai donc obtenu cette information via Google, en visionnant le cache du moteur de recherche. Je suis tombé sur un document Excel répertoriant les login et mots de passe d'une quarantaine de mutuelles, de fournisseurs et même de la Sécurité sociale ! J'ai donc immédiatement mis en place mon protocole d'alerte pour les prévenir. 

A. : Et vous les avez contactés ?
D.B. : J'ai contacté deux opticiens, les premiers apparaissant sur la liste, afin de leur expliquer qui j'étais et surtout, ce que j'avais découvert. Il leur paraissait impensable que de tels fichiers puissent se retrouver sur Internet librement, d'autant qu'ils utilisent le « Cloud de Dropbox » et « partagent avec les opticiens » via un intranet. Mais tout le problème est là ! Dropbox est un service d'une société dont les serveurs se trouvent aux Etats-Unis. On ne sait donc pas qui a accès à ces informations, ni comment. Ces opticiens n'ont donc aucune main sur les données qui sont sauvegardées à l'extérieur. En outre, la plupart des gens ignorent la dangerosité potentielle que des données aussi sensibles font planer, puisqu'ils n'imaginent pas quels usages néfastes (fraudes etc.) des pirates pourraient en faire. Pour eux, ce n'est utile qu'aux opticiens ! 

A. : Comment faire pour s'assurer que des documents ne se retrouvent pas accessibles sur Internet à n'importe qui ?
D.B. : Ce n'est pas parce qu'il y a un login et un mot de passe qu'obligatoirement le contenu est sécurisé. Ainsi, si Google voit ces éléments, il ne passe pas. Mais s'il y a des fenêtres ouvertes, il y récupère les données en considérant qu'il en a l'autorisation. Ceci étant, la première des priorités est surtout de ne jamais mettre de données sensibles et privées sur Internet, encore moins si le fichier en question est installé sur un disque dur connecté. 

A. : Que faut-il faire pour effacer définitivement des fichiers sensibles ?
D.B. : Il faut effacer ce fichier sur le serveur mais aussi sur les moteurs de recherche. On pense souvent à Google, mais ce n'est pas le seul. Il ne faut pas oublier qu'il en existe des milliers. L'entreprise doit donc d'abord s'assurer qu'aucune trace de son fichier n'apparaît ailleurs, puis il lui faut alerter tous les moteurs de recherche. 

A. : Comment se prémunir pour continuer à partager des données entre opticiens ?
DB :Il faut chiffrer les données en utilisant un outil qui empêchera une tierce personne de les lire, à moins de disposer du bon mot de passe. Ils peuvent par exemple utiliser le logiciel GPG (pour GNU Privacy Guard, ndlr), qui permet de signer et de chiffrer gratuitement à peu près tout ce qui se présente sous forme numérique. Ainsi, le document ne peut être lu qu'à condition de disposer de deux clefs : une privée qui appartiendrait à l'opticien et une publique qui appartiendrait uniquement à son salarié. Sans la clef publique, un pirate ou un hacker ne pourra strictement rien lire.