AgentPublic/cnil huggingface dataset:
132. Compte tenu de la position du rapporteur, la société indique avoir pris de nouvelles mesures de sécurité en instaurant un dispositif de surveillance des fonctions de recherches et de consultation de son outil MOBO avec un blocage automatique en fonction de certains critères et mis en place un tableau de bord de suivi notamment des utilisateurs bloqués, et des volumes de recherches par profil utilisateur.
133. En premier lieu, la formation restreinte relève, s’agissant des moyens de détection des connexions frauduleuses à son VPN, qu’il ressort des éléments communiqués par la société que celle-ci dispose d’un dispositif d’évaluation des connexions à son VPN et qu’elle l’a paramétré afin d’accepter, par défaut, l’ensemble des connexions à son VPN, sauf dans deux cas.
134. […].
135. […]:
136. […].
137. […].
138. […].
139. […].
140. […].
141. […].
142. […].
143. La formation restreinte observe que le dispositif d’analyse des connexions s’est donc avéré inefficace face à l’attaque alors même que le nombre anormal de connexions à son système d’information, qui ne correspondait aucunement à un usage standard, constituait un indicateur à prendre en compter afin de déterminer leur légitimité. Cette vulnérabilité a notamment été exploitée par l’attaquant dans le cadre de la violation de données en cause. En effet, en l’absence de détection de son intrusion dans le système d’information de la société, il a été en mesure d’accéder, pendant presque un mois, à de très nombreuses reprises, aux données à caractère personnel qu’il contient, sans être arrêté par la société.
144. Il en résulte que les mesures mises en œuvre par la société pour détecter les connexions frauduleuses à son VPN étaient insuffisantes au jour du contrôle.
145. De surcroit, la formation restreinte relève qu’au jour du contrôle, la société n’avait pas non plus déployé de mesures suffisantes permettant de détecter les comportements suspects sur son réseau interne. Dès lors, la société ne détectait ni les connexions frauduleuses à son VPN ni l’intrusion dans son réseau interne. Ainsi, lors de l’attaque, une fois connecté au VPN, l’attaquant a pu accéder au réseau interne de la société, et donc à ses ressources, sans être détecté. L’absence de système d’alerte relatif au trafic sur le réseau interne de la société est donc également une vulnérabilité utilisée par l’attaquant et a ainsi favorisé la violation de données.
146. En deuxième lieu, s’agissant des moyens de détection des comportements anormaux sur l’outil MOBO, la formation restreinte rappelle que cet outil propose à ses utilisateurs de remplir un formulaire afin de réaliser une recherche concernant un abonné de la société, et d’accéder aux résultats de cette recherche par l’intermédiaire d’une fonctionnalité de consultation . La formation restreinte relève que les fonctions recherche et consultation font toutes les deux l’objet d’une journalisation mais, qu’au jour du contrôle, seule la fonctionnalité consultation était analysée par un système créant des alertes en cas d’utilisation anormale.
147. La formation restreinte observe que la fonctionnalité recherche de l’outil MOBO ne permet pas à un utilisateur d’afficher directement sur son écran les résultats des recherches effectuées et donc les données à caractère personnel qu’ils contiennent. En effet, soit les résultats de la recherche comportent plusieurs résultats et l’utilisateur doit cliquer sur la fiche d’un abonné pour accéder à la consultation des données, soit les résultats de la recherche comportent un seul résultat et les données sont affichées grâce au déclenchement de la fonctionnalité consultation .
148. La formation restreinte observe toutefois que lorsqu’un utilisateur réalise une recherche , l’outil MOBO renvoie une réponse http dont le contenu est accessible, sans passer par la fonction consultation . En effet, en ouvrant l’outil de développement du navigateur, l’utilisateur peut accéder aux résultats de la recherche, celles-ci comportant les données à caractère personnel de l’abonné.
149. Dès lors, la formation restreinte considère que les requêtes, qui permettaient de prendre connaissance des résultats de la recherche et donc d’accéder aux données à caractère personnel, auraient également dû faire l’objet d’une analyse de journalisation, de la même manière que la fonctionnalité consultation .
150. La formation restreinte souligne que cette vulnérabilité a été exploitée par l’attaquant dans le cadre de la violation de données en cause. […].
151. Au regard de l’ensemble de ces éléments, la formation restreinte considère, qu’au jour du contrôle, la société n’avait pas déployé les moyens suffisants pour être en mesure de détecter les activités suspectes sur son VPN, son réseau interne et son outil de gestion de ses abonnés, ce qui constitue un manquement à l’article 32 du RGPD.
152. La formation restreinte relève que la société a pris des mesures au cours de la procédure permettant de mettre fin au manquement constaté. Elle considère, dès lors, qu’il n’y a pas lieu de prononcer une injonction de mise en conformité, comme initialement proposé par le rapporteur.
3.2 Sur l’absence de robustesse liée au stockage des mots de passe des utilisateurs de l’outil MOBO
153. La conservation des mots de passe de manière sécurisée constitue une précaution élémentaire en matière de protection des données à caractère personnel. Dès 2013, l’ANSSI alertait et rappelait les bonnes pratiques s’agissant de la conservation des mots de passe en indiquant que ces derniers doivent être stockés sous une forme transformée par une fonction cryptographique à sens unique (fonction de hachage) et lente à calculer telle que PBKDF2 et que la transformation des mots de passe doit faire intervenir un sel aléatoire pour empêcher une attaque par tables précalculées (ANSSI, Bulletin d’actualité CERTA-2013-ACT-046 , 15 novembre 2013, https://www.cert.ssi.gouv.fr/actualite/CERTA-2013-ACT-046/). L’ANSSI précisait également dans ses recommandations relatives à l’authentification multi facteur et aux mots de passe que les fonctions de hachage cryptographique recommandées, comme la famille SHA2, sont des fonctions très rapides à exécuter, ce qui, dans le contexte du stockage des mots de passe, est un avantage pour les attaquants, leur permettant de tester de nombreux mots de passe (https://cyber.gouv.fr/publications/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe).
154. De même, dans sa délibération n° 2017-012 du 19 janvier 2017, la CNIL indiquait déjà qu’elle recommande [que le mot de passe] soit transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé , recommandation confirmée dans sa délibération n°2022-100 du 21 juillet 2022. En effet, les fonctions de hachage non robustes présentent des vulnérabilités connues qui ne permettent pas de garantir l’intégrité et la confidentialité des mots de passe en cas d’attaque par force brute après compromission des serveurs qui les hébergent. La CNIL recommande également, dans son Guide RGPD du développeur publié le 27 janvier 2020, que le stockage d’un mot de passe se fasse au moyen d’une librairie éprouvée, comme Argon2, yescrypt, scrypt, balloon, bcrypt et, dans une moindre mesure, PBKDF2 .
155. Ainsi, le stockage des mots de passe des utilisateurs doit être réalisé de façon sécurisée. A cet égard, il est recommandé de stocker les empreintes de mots de passe plutôt que les mots de passe en clair. Pour obtenir une telle empreinte de mot de passe, il est en principe nécessaire de recourir à une fonction de hachage cryptographique mathématiquement éprouvée et lente à exécuter, tout en utilisant un sel aléatoire et long pour chaque mot de passe (d’une longueur d’au moins 128 bits), et ce, afin de se prémunir contre des attaquants qui auraient précalculé des tables de correspondance entre les mots de passe et leurs empreintes respectives.
156. […].
157. […].
158. A titre liminaire, la formation restreinte rappelle que, dans le cadre de la violation de données en cause, l’attaquant n’a pas exploité de vulnérabilité liée aux modalités de stockage des mots de passe des utilisateurs de l’outil MOBO.
159. […].
160. […].
161. […].
162. Par conséquent, la formation restreinte considère qu’il revenait à la société FREE MOBILE d’utiliser un algorithme de stockage de mot de passe lent et coûteux en espace mémoire, tel que cela ressort clairement des recommandations de l’ANSSI et de la CNIL précitées, afin de permettre en cas d’attaque, par exemple par force brute ou par dictionnaire, de ralentir un attaquant dans son identification des mots de passe.
163. La formation restreinte considère que les modalités de stockage des mots de passe des utilisateurs de l’outil MOBO constitue une vulnérabilité du système d’information de la société, peu important que celle-ci ait été exploitée ou non par l’attaquant dans le cadre de la violation de données en cause.
164. […].
165. Au vu de ce qui précède, la formation restreinte considère, qu’au jour du contrôle, les modalités de stockage des mots de passe des utilisateurs de l’outil MOBO ne permettaient pas d’assurer leur confidentialité, ce qui constitue un manquement aux dispositions de l’article 32 du RGPD.
166. […].
D. Sur le manquement à l’obligation de communiquer aux personnes concernées de la survenance d’une violation de données à caractère personnel en application de l’article 34 du RGPD
167. En droit, aux termes de l’article 34, paragraphe 1, du RGPD, lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais .
168. Le paragraphe 2 de l’article susmentionné précise les mentions qui doivent obligatoirement figurer dans le contenu de cette communication. Celle-ci doit contenir une description de la nature de la violation de données, des conséquences probables de la violation de données à caractère personnel, ainsi que des mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives. Par ailleurs, elle doit communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenue.
169. Le considérant 86 du RGPD précise que cette communication doit formuler des recommandations à la personne physique concernée pour atténuer les effets négatifs potentiels puisque que son objectif est de permettre aux personnes concernées de prendre les précautions qui s'imposent .
170. Le rapporteur considère que la société a commis un manquement à l’article 34 du RGPD dès lors que le courriel d’information adressé par la société aux personnes concernées par la violation de données ne permet de les éclairer ni quant aux mesures de remédiation qu’elle a prises, ni sur les conséquences probables de la violation de données, ni enfin sur les mesures que ces personnes doivent prendre pour se prémunir des risques auxquels la violation les expose.
171. En défense, la société estime avoir respecté l’article 34 du RGPD.
172. Tout d’abord, sur la forme de la communication, la société indique avoir adopté une approche à plusieurs niveaux. D’une part, un courriel a été adressé aux personnes concernées, entre les 24 et 29 octobre 2024, afin de leur communiquer un premier niveau d’information synthétique. La société précise avoir procédé à une communication échelonnée afin d’éviter de saturer les serveurs de messagerie des personnes. D’autre part, un second niveau d’information a été communiqué aux personnes par l’intermédiaire d’un numéro vert gratuit disponible 7 jours sur 7, visé dans le courriel d’information initial, et d’un dispositif interne de gestion des demandes (ticket DPO ). La société précise que le numéro vert mis en place lui a permis de répondre à 58 239 appels et que, grâce au système de ticket DPO, elle a pu traiter 1 081 demandes.
173. Puis, sur le fond de la communication, la société considère que le courriel d’information initial était complet au regard des exigences posées par l’article 34, paragraphe 2, du RGPD. Elle fait valoir que celui-ci informait les personnes de la survenance de la violation de données en cause, les alertait sur les risques de courriels, SMS ou appels frauduleux , leur rappelait que ses conseillers ne demandent jamais la communication de mots de passe à l’oral et elle les invitait, en cas de situation anormale, à consulter le site officiel cybermalveillance.gouv.fr pour effectuer un signalement.
174. La société justifie l’envoi d’un message de vigilance générale par le fait qu’elle ne pouvait pas anticiper toutes les formes d’exploitation futures de la violation de données.
175. Plus spécifiquement la société soutient que l’article 34, paragraphe 2, du RGPD, qui renvoie à l’article 33, paragraphe 3, ne lui imposait pas de détailler aux personnes concernées l’ensemble des mesures prises afin de mettre fin à la violation de données. Elle considère qu’une position contraire engendrerait un risque de compromission de la sécurité du système d’information concerné.
176. Enfin, la société considère que le nombre important de plaintes reçues par la CNIL résulte de la médiatisation exceptionnelle de la violation de données, à laquelle la CNIL a participé. Elle considère que les fraudes et tentatives de fraude, dont font état certains plaignants, ne sont pas imputables à un défaut d’informations de sa part dès lors qu’elle a pris les mesures nécessaires pour sensibiliser ses abonnés aux risques de fraude (notamment, par la mise en ligne d’une page d’assistance dédiée au phishing, une campagne de sensibilisation par courriel, la mise en place d’une veille proactive des sites susceptibles de conduire des campagnes de phishing visant ses abonnés).
177. La formation restreinte rappelle que l’article 34 du RGPD impose à un responsable de traitement, victime d’une violation de données, de communiquer certaines informations aux personnes concernées lorsque la violation de données est susceptible d’engendrer un risque élevé pour leurs droits et libertés.
178. La formation restreinte rappelle également que, comme le souligne le Comité européen de la protection des données (ci-après CEPD ) dans ses lignes directrices sur la notification de violations de données à caractère personnel en vertu du règlement (UE) 2016/679 adoptées le 28 mars 2023, l’objectif principal [de l’article 34 du RGPD] est d’aider les personnes concernées à comprendre la nature de la violation ainsi que les mesures qu’elles peuvent mettre en place pour se protéger .
179. Ainsi, le paragraphe 2 de l’article 34 du RGPD prévoit que la communication aux personnes concernées doit décrire la nature de la violation de données à caractère personnel et contenir au moins les informations et mesures mentionnées à l'article 33, paragraphe 3, points b), c) et d). Ces informations concernent le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues (point b), la description des conséquences probables de la violation de données à caractère personnel (point c), et la description des mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives (point d).
180. La formation restreinte considère qu’il résulte de la rédaction du paragraphe 2 de l’article 34 du RGPD que les informations énumérées ci-dessus sont celles qui doivent, a minima, être communiquées aux personnes concernées par une violation de données à caractère personnel lorsque celle-ci est susceptible d’engendrer un risque élevé pour leurs droits et libertés.
181. Dès lors, ces informations doivent être adressées directement aux personnes concernées, dans un premier niveau d’information, car elles sont essentielles pour atteindre l’objectif poursuivi par la communication : leur permettre de comprendre la nature de la violation, ainsi que les mesures qu’elles peuvent mettre en place pour se protéger.
182. Par ailleurs, la formation restreinte observe que l’obligation, pour un responsable de traitement, de communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact , comme prévu par le point b) du paragraphe 2 de l’article 33 du RGPD, a pour objectif de fournir aux personnes concernées par la violation de données des informations supplémentaires . La formation restreinte estime que ces informations viennent donc compléter les informations essentielles devant figurer dans le premier niveau d’information et ne sauraient s’y substituer.
183. En ce sens, la formation restreinte relève que, dans ses lignes directrices sur la notification de violations de données à caractère personnel en vertu du règlement (UE)2016/679 adoptées le 28 mars 2023, le CEPD rappelle qu’ un responsable du traitement peut choisir de fournir des informations complémentaires à celles présentées ici [article 33, paragraphe 3, points b), c) et d)] comme nécessaires .
184. Autrement dit, l’article 34, paragraphe 2, du RGPD, qui renvoie à son article 33, paragraphe 3, point b), prévoit la possibilité de communiquer auprès des personnes concernées à deux niveaux d’information : un premier, obligatoire, comportant les informations essentielles et un second comportant des informations complémentaires que le responsable du traitement souhaite porter à la connaissance des personnes.
185. En l’espèce, en premier lieu, la formation restreinte relève que la société a adressé aux personnes concernées par la violation de données un premier courriel d’information, qui constitue un premier niveau d’information. La société a, par ailleurs, mis en place un numéro vert gratuit, accessible 7 jours sur 7, de 9 heures à 18 heures, dont elle communique les coordonnées dans son courriel initial, ainsi qu’un système de ticket DPO , pour répondre aux questions complémentaires des personnes, qui constitue un second niveau d’information.
186. La formation restreinte considère que la forme de la communication réalisée à destination des personnes concernées est conforme aux exigences posées par l’article 34, paragraphe 2, du RGPD.
187. En deuxième lieu, la formation restreinte relève que le courriel adressé aux personnes concernées les informait du fait que la société avait été victime d’une cyberattaque ciblant son outil de gestion, ayant entraîné un accès non autorisé à une partie des données à caractère personnel associées aux comptes des abonnés (leurs nom, prénom, adresse électronique, adresse postale, date et lieu de naissance, numéro de téléphone, identifiant abonné et données contractuelles). Ce courriel précisait également que toutes les mesures nécessaires ont été prises immédiatement pour mettre fin à cette attaque et renforcer la protection de [ses] systèmes d’information , que la violation de données avait été notifiée à la CNIL, ainsi qu’à l’ANSSI, et qu’une plainte avait également été déposée auprès du procureur de la République. En outre, la société invitait les personnes concernées à la plus grande vigilance face au risque d’emails, SMS ou appels frauduleux , précisait que ses conseillers ne demandaient jamais la communication à l’oral de mot de passe et les invitait, en cas de suspicion ou de situation anormale à contacter le service officiel d’assistance aux victimes numériques sur le site web cybermalveillance.gouv.fr afin d’effectuer un signalement. Enfin, pour toute question et demande de renseignement , le courriel précisait que la société tenait à la disposition des personnes concernées un numéro vert, gratuit, accessible 7 jours sur 7, de 9 heures à 18 heures.
188. La formation restreinte estime que, si la majorité des informations essentielles figuraient dans le courriel d’information initial et que le mode de communication permettait aux personnes concernées d’accéder aux autres informations essentielles par l’intermédiaire du second niveau d’information, il n’en demeure pas moins que certains éléments importants n’étaient pas mentionnés.
189. S’agissant de l’information relative aux mesures de remédiation, il est admis que, dans certains cas, des mesures de sécurité déployées par un organisme doivent effectivement rester secrètes afin de ne pas exposer son système d’information à des risques de nouvelles attaques. La formation restreinte précise, cependant, que toutes les mesures de sécurité mises en œuvre par un organisme ne présentent pas un risque pour la sécurité d’un système d’information et n’ont donc pas nécessairement vocation à demeurer secrètes.
190. La formation restreinte observe que la société a uniquement indiqué aux personnes concernées par la violation de données en cause que toutes les mesures nécessaires ont été prises immédiatement pour mettre fin à cette attaque et renforcer la protection de nos systèmes d’information , ce qui constitue, selon la formation restreinte, une formulation trop générale et abstraite pour se conformer à l’article 34, paragraphe 2, du RGPD. En effet, l’article 33, paragraphe 3, point d), auquel l’article susmentionné renvoie, prévoit une obligation de décrire ces mesures.
191. La formation restreinte estime dès lors que, sans mettre en danger son système d’information, la société aurait dû décrire , même brièvement, dans des termes simples, les principales mesures correctives qu’elle avait prises pour remédier à la violation de données en cause. La formation restreinte rappelle que l’objectif de cette communication est de rassurer les personnes concernées sur la protection effective de leurs données à caractère personnel.
192. La formation restreinte relève que, dans le cadre de la notification initiale effectuée auprès de la CNIL quelques jours avant la communication réalisée auprès des personnes concernées, la société avait bien décrit ces mesures, conformément à l’article 33 du RGPD (obligation de notifier la violation de données à la Commission). Sans entrer dans le détail de ces mesures pour permettre la lisibilité de la communication aux personnes, la formation restreinte considère que la société aurait notamment dû indiquer avoir procédé à la révocation des accès compromis, à la correction de vulnérabilités liées à son outil métier, et au renforcement des contrôles des accès aux données à caractère personnel. Ces éléments d’information sont compréhensibles pour les personnes concernées et ne sont pas de nature à compromettre le système d’information de la société.
193. S’agissant de l’information relative aux conséquences probables de la violation de données en cause et des mesures à prendre pour en atténuer les éventuelles conséquences négatives, la formation restreinte rappelle que la société a indiqué aux personnes concernées nous vous invitons à la plus grande vigilance face au risque d’emails, SMS ou appels frauduleux. Sachez que nos conseillers ne vous demanderont jamais vos mots de passe à l’oral. En cas de suspicion ou de situation anormales, nous vous invitons à contacter le service officiel d’assistance aux victimes numériques sur : www.cybermalveillance.gouv.fr pour effectuer un signalement et faire valoir vos droits .
194. La formation restreinte estime que cette formulation est trop vague pour atteindre l’objectif d’aider les personnes concernées à comprendre les principaux risques auxquels elles sont exposées, ainsi que les mesures qu’elles peuvent mettre en place pour s’en protéger.