[ Coups de Gueule – Épisode 14/20 ]
NE CACHEZ PAS CETTE FUITE
QUE JE NE SAURAIS VOIR
Damien Bancal est journaliste, spécialiste du cybercrime et de sécurité informatique. Il est le fondateur du site zataz.com.
« Ne pas voir, ne pas entendre, ne pas parler », disait Confucius. À force de jouer aux trois petits singes de la sagesse, les dirigeants jouent avec le feu en faisant le jeu des pirates.
Les fuites de données personnelles, j’en croise des centaines par semaine avec mon blog zataz. Des millions d’identités, d’adresses postales, de mails, de numéros de téléphone dans les cas les “moins graves”, jusqu’aux documents privées et sensibles administratifs (Carte Nationale d’Identité, Passeport,…), de santé ou bancaires. Pas besoin d’être un “génie” de l’informatique, personnage qui n’existe que dans les romans et films relatant les pirates informatiques, pour mettre la main sur des données qui n’ont rien à faire sur le web. Pour preuve, je vais vous transformer en dangereux flibustier du web. Le genre de pirate qui ferait rougir Jean-Bart, Surcouf et la NSA réunis !
Comment ? Simple ! Prenez votre navigateur Internet préféré. Rendez-vous sur Google. Tapez dans l’espace de recherche la commande suivante. Attention, même la CIA va vous l’envier : inurl :.txt @orange.fr. Il ne vous reste plus qu’à cliquer, tout en douceur afin de ne pas déclencher les micros espions qui vous entourent, sur la touche “Entrée” de votre clavier. Devant vos yeux vont apparaitre des bases de données n’ont protégées, contenant des adresses mails orange.fr interceptées, copiées et sauvegardées par le moteur de recherche Google. La commande indique au moteur de recherche américain que vous recherchez des fichiers textes (.txt) comportant des adresses mails Orange. Vous pouvez modifier .txt en .doc (Word), .xls (Excel),…et Orange par ce que vous souhaitez.
Des fuites de données, partout !
Illégal ? Non ! Google et ses robots ne font que copier ce que les internautes et les sites web lui laissent en accès libre. Les responsables ? Les webmasters, les administrateurs de serveurs qui ont pris la sécurité de leurs employés, de leurs clients, de leurs utilisateurs par-dessus la jambe. Des milliers de Français se retrouvent ainsi abandonnés. Et il n’y a plus grand-chose à faire pour effacer ces informations. Alerter l’entreprise fuiteuse ? Faut-il qu’elle vous écoute. L’une de ces sociétés alertées par ZATAZ, et visée par cette simple requête Google, a mis huit mois avant d’effacer les milliers de données personnelles accessibles sur son site web. À cela, rajoutez un mois supplémentaire. La fuiteuse avait oublié le cache Google (la photocopieuse du moteur de recherche américain, NDR) et la quinzaine de sites qui récupèrent la moindre donnée sauvegardée par le géant de la Silicon Valley. Bilan, neuf mois après la première alerte ZATAZ, elle avait enfin corrigé. Mais aucun des français concernés, soit plus de 18 000 personnes, n’ont été avertis.
Ne rien dire ? Ok, les pirates vont s’en charger !
Et ce n’est que la partie visible de l’iceberg. Je surveille, depuis des mois, plusieurs centaines de boutiques du black market qui revendent (de 0.50 à plusieurs dizaines d’euros) des données de Français. Autant dire que si vos clients, vos employés découvrent qu’ils sont dans les mains des malveillants du web, il va falloir leur expliquer pourquoi vous n’avez rien dit, pourquoi vous n’avez rien fait. Et je doute fortement que vous en sortiez gagnant.
Bref, comme l’indiquait déjà Sun Tzu dans son livre L’Art de la Guerre : « Qui connaît l’autre et se connaît lui-même, peut livrer cent batailles sans jamais être en péril. Qui ne connaît pas l’autre mais se connaît lui-même, pour chaque victoire, connaîtra une défaite. Qui ne connaît ni l’autre ni lui-même, perdra inéluctablement toutes les batailles ».
Tribune issue du dernier numéro de notre magazine AUDIENCE
ADEKWA Avocats
Cabinet d’avocats
Lille – Douai – Valenciennes – Bordeaux