Fuite de données chez Flunch : explication

A la suite de l’article de ZATAZ concernant la fuite de données ayant visé l’espace « JOB » des restaurants Flunch, l’enseigne du groupe Mulliez a communiqué en toute transparence. Explication.

Je vous expliquais, jeudi 8 novembre, comment j’avais pu constater une fuite d’informations privées et sensibles de plusieurs dizaines de milliers de personnes via un espace web des restaurants Flunch. Je ne pouvais pas en dire plus à l’époque, le site n’ayant pas été corrigé. Après un contact avec le DPO de Flunch, je peux vous en dire plus et rassurer les amateurs de Flunchy.

Deux temps, trois mouvements

La fuite concernait l’espace JOB de Flunch. Les demandeurs d’emploi pouvaient y laisser leurs informations personnelles et privées, dont leur CV ou encore les messages échangés entre Flunch et le candidat. Le « bug » est apparu à la réception du courriel de confirmation d’inscription sur job.flunch.fr. Un numéro de dossier s’affichait dans l’url. Il suffisait de modifier ce dernier pour accéder aux données des autres internautes inscrits.

La faute à l’implémentation du module Jobmonster sous wordpress. Flunch a fermé cet espace web. Une cellule de crise a été mise en place.

Notification de Flunch communiquée à la CNIL

– Alerte sur une faille de sécurité sur un de nos site job.flunch.fr via l’article ZATAZ le 8/11/2018 à 20H ;
– Fermeture du site à 23H le 8/11/2018 en principe de précaution ;
– Réunion de crise le 9/11/2018 sur l’ensemble de la journée ;
– Prise de contact avec Damien Bancal éditeur du site ZATAZ dans la matinée du 9/11/2018 pour avoir les éléments qu’il a pu constater ;
– L’incident ne porte pas sur des clients mais sur des candidats qui postulent sur ce site ;
– A cette heure rien ne porte à croire qu’il y ait eu une exploitation de cette faille pour récupérer de la donnée source ZATAZ ;
– La faille porte sur un potentiel 33 572 candidats et non 53 000 clients ;
– Les dossiers ne sont pas accessibles en quelques clicks mais en bien après validation de l’inscription sur le siteJob.flunch.fr et en manipulant le lien de façon non trivial pour accéder à de la données qui n’est pas la sienne ;
– Incident en notification initiale à la CNIL sous le N° FR1XXXXXXXXXX ;

Le Service Veille de ZATAZ vous propose de protéger les données de votre choix. A la moindre détection de fuite (dans le black market, …) vous êtes avertis. Vous pouvez ainsi agir en conséquence, vite et bien.