Le plus frappant, c’est que ni fedpol ni l’administration des douanes n’avaient réalisé le moindre audit de sécurité sur Xplain pendant les quinze années précédant le piratage, alors que la loi sur la protection des données leur imposait justement de vérifier ce point avant de partager des données sensibles avec ce prestataire. Ces données auraient en plus été stockées de manière non chiffrée, alors qu’elles n’auraient jamais dû lui parvenir sous cette forme. Si même la Confédération, censée montrer l’exemple en matière de protection des données sensibles, se retrouve prise en défaut sur un point aussi basique pendant quinze ans, difficile de s’étonner que des entreprises privées comme Salt fassent l’impasse sur des mesures similaires.

En comparaison, ce que Salt a exposé (nom, adresse, date de naissance, numéro) reste nettement moins critique que ce qui s’est retrouvé sur le darknet dans l’affaire Xplain. Ça ne dédouane pas Salt, mais ça donne une idée d’où on en est vraiment en Suisse en matière de sécurité des données : même l’État n’arrive pas à s’imposer cette discipline sur des données autrement plus sensibles.

On peut légitimement se demander si un opérateur télécom qui centralise nom, prénom, adresse, date de naissance et numéro de millions de clients aurait dû considérer ce risque comme faible. Ce type de données permet du phishing ciblé crédible, donc protéger ces informations au-delà du simple contrôle d’accès semble être le minimum attendu pour un acteur de cette taille. Ce n’est pas à moi de dire si Salt a rempli ou non ses obligations légales : seule une analyse du PFPDT pourrait le confirmer.

Ce qui frappe surtout, c’est que ces incidents se répètent depuis des années aussi bien dans le public que dans le privé, sans qu’aucune mesure concrète comme le chiffrement systématique des données sensibles ne soit sérieusement mise sur la table. Personne ne semble s’adapter après ces attaques à répétition : ni les organisations, ni le cadre légal. Résultat, les gens lisent une nouvelle fuite de données presque chaque semaine dans la presse, et ça finit par entamer sérieusement la confiance du public envers la numérisation et les services numériques en général.

et en restant sur France, je leur recommande de potasser à fond la doc sur la cybersécurité de la CNIL et de l’ANSSI, respectivement: https://www.cnil.fr et https://cyber.gouv.fr parce que tout y est. 😉

enfin, si Salt n’a pas envie de respecter le RGPG (parce que hors UE), qu’il respecte au moins la plus tout à fait nouvelle LPD suisse, qui est, sur le fond, semblable.

Au pire si je perds l’accès à mon amstramgram j’irai sur tic tac. Attention les djeuns j’arrive, koicoubeh !