Salt informe sa clientèle d’un possible incident de sécurité touchant des données personnelles de certains de ses abonnés mobiles. L’opérateur précise dans un message adressé à ses clients avoir engagé des analyses après la diffusion de messages sur la toile.
Selon les vérifications internes, aucune intrusion directe n’a touché l’infrastructure centrale de l’entreprise. Le problème proviendrait d’un usage détourné d’un droit d’accès légitime sur un outil périphérique, selon une information publiée sur son site internet.
Des données d’identité exposées
L’opérateur se veut rassurant et indique que les données hautement sensibles, comme les mots de passe, les données bancaires ou l’historique client, restent intactes. En revanche, des éléments d’identification comme le nom, le prénom, l’adresse postale, la date de naissance, le numéro de téléphone et le courriel sont potentiellement dérobés.
Cette fuite pourrait exposer les utilisateurs concernés à des vagues ciblées de tentatives d’escroquerie par hameçonnage. Salt recommande d’ailleurs le public à redoubler d’attention face aux messages ou aux appels téléphoniques suspects.
Gare aux tentatives de piratage
L’entreprise rappelle qu’elle ne sollicite jamais d’identifiants secrets ou d’informations bancaires par message électronique ou par téléphone. Elle affirme avoir sécurisé les accès compromis et réexaminer l’ensemble de ses procédures de contrôle interne.
Les abonnés qui souhaitent obtenir des précisions sur le traitement de leur dossier peuvent contacter la cellule dédiée à l’adresse data@salt.ch. Cet événement démontre une nouvelle fois qu’une simple faille sur un système annexe suffit à fragiliser tout un écosystème et que la sécurité informatique est plus importante que jamais.
XS
En savoir plus sur Le blog high-tech & telecom de Xavier Studer
Subscribe to get the latest posts sent to your email.
Tranquille, bien que j’utilise la même adresse email avec le même mot de passe partout, j’utilise les chiffres de ma date de naissance et j’y ajoute le caractère spécial d’une monnaie étrangère à la fin, ceci me permettant d’avoir un code hautement sécurisé. Bonne chance aux pirates qui essaierait de compromettre mon compte facebook sur lequel je like des vidéos de chat qui font de la pâtisserie (impressionnant ce qu’on peut apprendre à ces petites bêtes avec un peu d’entraînement !)
Au pire si je perds l’accès à mon amstramgram j’irai sur tic tac. Attention les djeuns j’arrive, koicoubeh !
« sur un outil périphérique » ça veut dire quoi ? Qu’en as-t-on à faire ? Ils se sont fait hacker et voilà pas besoin de tergiverser. Et nos données de cartes d’identités scannées ils n’en parlent pas.
Après ça m’étonne pas c’est du même niveau d’avancement et de finition que leur logiciel Salt TV qui n’est même pas capable d’envoyer du Dolby digital multicanaux.
bon, ce n’est pas parce que c’est une entreprise française qu’elle doit se comporter, en matière de sécurité informatique, comme ses consœurs de l’Hexagone.
et en restant sur France, je leur recommande de potasser à fond la doc sur la cybersécurité de la CNIL et de l’ANSSI, respectivement: https://www.cnil.fr et https://cyber.gouv.fr parce que tout y est. 😉
enfin, si Salt n’a pas envie de respecter le RGPG (parce que hors UE), qu’il respecte au moins la plus tout à fait nouvelle LPD suisse, qui est, sur le fond, semblable.
Numéro de tél. et adresse email fuités ? A l’heure actuelle je considère ça comme des données sensibles. SALT minimise mais c’est vachement grave en fait, j’espère qu’ils vont se faire remonter les bretelles, c’est pas normal d’en rester là.
Richard
Nouveau chez Salt, et après ce qui arrive.
Je n’ai plus confiance en cet entreprise.
J’ai envie de changer d’opérateur.
J’espère qu’ils accepteront la rupture de contrat
Nouveau chez Salt, et après ce qui arrive.
Je n’ai plus confiance en cet entreprise.
J’ai envie de changer d’opérateur.
J’espère qu’ils accepteront la rupture de contrat
Moi aussi je vais les quitter ces incapables qui en plus nous prennent pour des c… en prétextant un périphérique et que c’est pas grave e-mail adresse et tout ça. Mais oui les incapables….
Ce genre d’incident revient sans cesse dans l’actualité, et le problème de fond, c’est que le RGPD et la nLPD laissent aux entreprises la liberté d’évaluer elles-mêmes le « niveau de risque » et donc de décider si des mesures comme le chiffrement des données stockées sont nécessaires ou non. Résultat : aucune obligation ferme, et chaque incident devient un cas où l’entreprise peut dire qu’elle a fait ce qu’il fallait selon sa propre analyse.
On peut légitimement se demander si un opérateur télécom qui centralise nom, prénom, adresse, date de naissance et numéro de millions de clients aurait dû considérer ce risque comme faible. Ce type de données permet du phishing ciblé crédible, donc protéger ces informations au-delà du simple contrôle d’accès semble être le minimum attendu pour un acteur de cette taille. Ce n’est pas à moi de dire si Salt a rempli ou non ses obligations légales : seule une analyse du PFPDT pourrait le confirmer.
Ce qui frappe surtout, c’est que ces incidents se répètent depuis des années aussi bien dans le public que dans le privé, sans qu’aucune mesure concrète comme le chiffrement systématique des données sensibles ne soit sérieusement mise sur la table. Personne ne semble s’adapter après ces attaques à répétition : ni les organisations, ni le cadre légal. Résultat, les gens lisent une nouvelle fuite de données presque chaque semaine dans la presse, et ça finit par entamer sérieusement la confiance du public envers la numérisation et les services numériques en général.
Si on cherche un exemple qui illustre bien où mène l’absence de contrainte réelle en matière de sécurité des données, l’affaire Xplain (2023) est probablement le cas le plus grave qu’ait connu la Suisse ces dernières années. Ce prestataire informatique basé à Interlaken travaillait pour fedpol, l’Office fédéral des douanes, plusieurs polices cantonales et l’armée. Après son piratage, des données extrêmement sensibles se sont retrouvées sur le darknet : des dossiers d’enquêtes du Ministère public de la Confédération liés au terrorisme, à la mafia et à la corruption, avec les noms, adresses et méthodes de travail des fonctionnaires ayant mené ces enquêtes. Certains articles ont même évoqué les dispositifs de sécurité de conseillers fédéraux et d’ambassades.
Le plus frappant, c’est que ni fedpol ni l’administration des douanes n’avaient réalisé le moindre audit de sécurité sur Xplain pendant les quinze années précédant le piratage, alors que la loi sur la protection des données leur imposait justement de vérifier ce point avant de partager des données sensibles avec ce prestataire. Ces données auraient en plus été stockées de manière non chiffrée, alors qu’elles n’auraient jamais dû lui parvenir sous cette forme. Si même la Confédération, censée montrer l’exemple en matière de protection des données sensibles, se retrouve prise en défaut sur un point aussi basique pendant quinze ans, difficile de s’étonner que des entreprises privées comme Salt fassent l’impasse sur des mesures similaires.
En comparaison, ce que Salt a exposé (nom, adresse, date de naissance, numéro) reste nettement moins critique que ce qui s’est retrouvé sur le darknet dans l’affaire Xplain. Ça ne dédouane pas Salt, mais ça donne une idée d’où on en est vraiment en Suisse en matière de sécurité des données : même l’État n’arrive pas à s’imposer cette discipline sur des données autrement plus sensibles.