Oscaro corrige une fuite de données

Publié le 08-09-2012 à 15:10:44 dans le thème Authentification

Pays : International - Auteur : Albert Einstein

Pub : Logiciels de sécurité et de protection Internet

Note des lecteurs: 3.7/5

Le spécialiste des pièces automobile corrige une fuite de données sur son espace client. L'alerte aura été rapidement prise en compte pour le numéro 1 de la pièce automobile Oscaro.com. Deux clients de cette boutique ont souhaité passer par le protocole d'alerte de ZATAZ.COM [HaideD 1562 en juillet 2012, puis début septembre, NDLR ZATAZ.COM] afin de faire corriger une fuite de données clients concernant les factures de ces derniers. ZATAZ.COM n'expliquera pas le comment du bug.

Il suffisait juste d'un navigateur et de l'url officiel de la boutique. A partir de ces éléments il était possible d'accéder aux factures clients avec numéro de commande, montant de l'achat, piéce acquise, adresse de livraison. Aucunes données sensibles de type données bancaires ou mot de passe n'étaient accessibles. A la connaissance de ZATAZ.COM aucune utilisation malveillante de cette faille n'est à déplorer.

L'obligation de notification
L'article 38 de l'ordonnance du 24 août 2011 intègre un article 34 bis dans la Loi n°78-17 du 6 janvier 1978 qui institut une obligation de notification en cas de violations de données personnelles (Data Security Breach). L'obligation de notification concerne les données traitées dans le cadre de la « fourniture de services de communications électroniques ouverts au public », ce incluant également les fournisseurs « prenant en charge les dispositifs de collecte de donnée et d'identification ». Selon l'ordonnance, la violation de données personnelles constitue toute situation de violation de la sécurité du système d'information entraînant, de façon accidentelle ou illicite : la destruction, la perte, l'altération, la divulgation, ou encore l'accès non autorisé à des données personnelles par un tiers. L'obligation de notification doit être faite « sans délai ». A noter que ZATAZ.COM notifie les entreprises via son protocole d'alerte. En cas de violation, l'ordonnance prévoit une notification sans délai : à la CNIL et aux intéressés (clients, membres, ...). L'obligation sans délai de notification aux intéressés par le fournisseur est obligatoire dès lors que cette violation est susceptible de porter atteinte aux données personnelles ou à la vie privée de l'abonné ou d'une autre personne physique. L'absence de notification est punie d'une peine pouvant aller jusqu'à 5 ans de prison et 300.000 euros d'amende (insertion d'un nouvel alinéa à l'article 226-17 du code pénal).