Piratage massif chez l opérateur Free: 5 millions d IBAN dans la nature, quels sont les risques pour les victimes ?

[Sans]

Tout-à-fait d'accord @niklos
Pas plus que de dépendre du bon vouloir de sociétés françaises ou autres pour ses données !

La solution : qu'on nous donne le choix de vouloir mettre ou pas nos données à disposition, puisqu'ils sont incapables d'en assurer la confidentialité.... Etat inclus !

 

[nono52]

Si les entreprises sont incapables de gérer et sécuriser les données personnelles il faudra peut être tout simplement leur interdire de les détenir.

Pourquoi ne pas imaginer un intermédiaire (service de l’état?) qui ferait le lien entre le consommateur et l’entreprise via un identifiant par exemple.

Exemple : Vous voulez vous abonner à free? Ok vous contactez free et vous leur donnez votre identifiant.
Free connaîtra de vous uniquement votre identifiant et rien d’autre. Pour mettre en place l’abonnement que vous avez demandé, free transmet a cet intermédiaire une demande en disant que tel identifiant souhaite un abonnement. L’intermédiaire qui a vos données vous contacte pour vérifiez que vous êtes bien à l’origine de la demande. Si vous validez, l’intermédiaire fait suivre les factures, la carte SIM, à tél adresse mail ou postale, valide le prélèvement sur votre IBAN etc… sans que free puisse les connaître.

A mon avis on peut imaginer pleins de solutions de ce type mais le désastre actuel c’est juste plus possible

Bonjour Shvox,

Vous trouvez qu'il n'y a pas assez de fonctionnaires en France ?

La seule solution, une pénalité de quelques milliards pour l'entreprise fautive et l'obligation de gérer les problèmes que cela a généré pour les clients.

 

[Kephset]

Bonjour Shvox,

Vous trouvez qu'il n'y a pas assez de fonctionnaires en France ?

La seule solution, une pénalité de quelques milliards pour l'entreprise fautive et l'obligation de gérer les problèmes que cela a généré pour les clients.

C'est donc ça votre seule solution : revenir au tout papier ?
Ça a déjà été dit et redit, aucune sécurité n'est infaillible, que ce soit en informatique ou en réel donc ce genre de pénalité c'est au choix tuer les entreprises qui se font attaquer, soit leur signifier qu'il faut arrêter la gestion informatique. Mettre des pénalités quand il y a des manquements manifestes oui mais dans la plupart des cas ça ne sert à rien

 

[AlbertoWin]

Souhaite t'on vraiment donner nos données personnelles à des sociétés étrangères ? Et leur faire confiance les yeux fermés ?
Certains ont fait ce choix et en sont très contents.

Il y a Gandi, Qwant et des datacenters en France.
La solution la plus efficace, un chiffrement dans la base par KYBER. Seul le client peut déchiffrer les données et vérifier son identité. Il n’y a aucun moyen de savoir les donnees dernières. Ou mieux du Zero knowledge trust. Aucun déchiffrement et aucune donnée.
Certes ça résout le problème mais ça interdit toutes les donnees, on ne sait plus qui est qui. Toute la protection et le maintien devra être fait sur une base externe et deconnecte qui fait le pont entre l’identifiant et les donnees, alimente selon les ouvertures et les décès.

 

[Sans]

C'est donc ça votre seule solution : revenir au tout papier ?
Ça a déjà été dit et redit, aucune sécurité n'est infaillible, que ce soit en informatique ou en réel donc ce genre de pénalité c'est au choix tuer les entreprises qui se font attaquer, soit leur signifier qu'il faut arrêter la gestion informatique. Mettre des pénalités quand il y a des manquements manifestes oui mais dans la plupart des cas ça ne sert à rien

Donc on ne fait rien, on continue à subir les obligations du tout en ligne qui nous est imposé, et on en subit les désagréments causés par la faute des autres, alors que l'on n'a même pas le choix de le refuser !

Qu'on nous donne au moins le choix, même si il y a des désavantages !

 

[nono52]

C'est donc ça votre seule solution : revenir au tout papier ?
Ça a déjà été dit et redit, aucune sécurité n'est infaillible, que ce soit en informatique ou en réel donc ce genre de pénalité c'est au choix tuer les entreprises qui se font attaquer, soit leur signifier qu'il faut arrêter la gestion informatique. Mettre des pénalités quand il y a des manquements manifestes oui mais dans la plupart des cas ça ne sert à rien

Bonjour,
Je veux juste responsabiliser les entreprises qui sous couvert de sécurité captent nos données sans les sécuriser.
C'est facile de dire que rien n'est infaillible et après, pourquoi nos données sont conservées , pour les étudier, les vendre ?
Imaginons alors un système de données éphémères qui se détruiraient après contrôle mais apparemment cela ne les intéresse pas. ( ainsi la responsabilité de l'entreprise serait vraiment engagée en cas de fuite de données)
De plus si disperser dans la nature des données confidentielles n'est pas un manquement manifeste, je ne sais pas ce qu'il vous faut de plus !

Cdlt

 

[Sans]

Bonjour,
Je veux juste responsabiliser les entreprises qui sous couvert de sécurité captent nos données sans les sécuriser.
C'est facile de dire que rien n'est infaillible et après, pourquoi nos données sont conservées , pour les étudier, les vendre ?
Imaginons alors un système de données éphémères qui se détruiraient après contrôle

Absolument génial comme idée

mais apparemment cela ne les intéresse pas.

Donc là raisin est ailleurs ...

( ainsi la responsabilité de l'entreprise serait vraiment engagée en cas de fuite de données)

Exactement, au lieu que leur seule obligation soit de nous informer et dem*******

De plus si disperser dans la nature des données confidentielles n'est pas un manquement manifeste, je ne sais pas ce qu'il vous faut de plus !

Cdlt

Exactement !

 

[Kephset]

Bonjour,
Je veux juste responsabiliser les entreprises qui sous couvert de sécurité captent nos données sans les sécuriser.
C'est facile de dire que rien n'est infaillible et après, pourquoi nos données sont conservées , pour les étudier, les vendre ?
Imaginons alors un système de données éphémères qui se détruiraient après contrôle mais apparemment cela ne les intéresse pas. ( ainsi la responsabilité de l'entreprise serait vraiment engagée en cas de fuite de données)
De plus si disperser dans la nature des données confidentielles n'est pas un manquement manifeste, je ne sais pas ce qu'il vous faut de plus !

Cdlt

Pour le manquement manifeste, on verra après audit, le jugement avant même l'enquête c'est quand même très facile.

Sur les données éphémères, pourquoi pas mais il faudra faire évoluer la loi. Si des entreprises conservent des années des données qui ne leur servent pas c'est pas uniquement par plaisir de remplir des espaces de stockage. Rien que dans le domaine bancaire tout ce qu'on est obligés de garder pendant des années sans aucun intérêt...

 

[Kephset]

La dernière amende en date sur le sujet de fuite de données :
[lien réservé abonné]

 

[jabsol]

Il faut arrêter de penser que quelqu'un a la solution universelle qui resoud tous les problèmes !

Par exemple, la solution stockage temporaire ? C'est simplement contraire au fonctionnement même des systèmes numériques !
tout simplement parce qu'en informatique on ne déplace jamais des données (c'est impossible), on ne fait que les copier d'un endroit vers un autre, et ensuite on les efface (ou pas).
Donc a un moment donné nos données sont quelque part, stockées par un système qui ne sera pas éphémère (sauf a vouloir changer toutes les puces du monde entier et s'assurer que tous les fabricants appliquent la règle, ce qui est bien sûr une utopie).
A noter que le rgpd impose aux entreprises d'effacer nos données personnelles après un certain temps (ex 3 ans).

La solution cryptage ? Ok le point faible c'est la clé de décryptage, qui sera stockée sur vos appareils personnels et sauvegardée quelque part en cas de perte. C'est plus compliqué certes mais pas infaillible, et même pire si c'est la seule sécurité, car une fois la clé possédée il n'y a plus aucun verrou.

J'ai travaillé dans l'aéronautique et l'automobile et la seule façon de faire des systèmes fiables c'est d'accepter les risques, de les calculer et de vérifier leur adéquation avec les enjeux.
Sans cela la recherche du risque 0 amène simplement à ne rien faire du tout, car c'est un but inaccessible.

Les systèmes actuels ne sont pas parfaits et ils ne le seront jamais, mais ce sont les meilleurs que l'homme a créé jusqu'ici, et ils vont continuer à progresser.

 

[attentif]

Bonjour à tous,

Des architectures de réseau et de stockage sécurisées peuvent être mises en place, mais leurs coûts d'investissement et de maintenance sont très importants pour l'entreprise qui le fait.

Elles s'appuient sur la norme PCI DSS [lien réservé abonné] pour les données de la monétique que les banques traitent.

 

[wwolf1]

Ca sert quelque chose de porter plainte contre Free a la CNIL ?

 

[jabsol]

Ca sert quelque chose de porter plainte contre Free a la CNIL ?

Pour quelle 'infraction'?

 

[wwolf1]

Voir l'article sur MoneyVox : manquement sur la protection des donnees.

 

[jabsol]

Voir l'article sur MoneyVox : manquement sur la protection des donnees.

On. ne sait rien du piratage, du mode opératoire etc... alors parler de manquement peut à l'heure actuelle s'apparenter à de la diffamation.
Je ne dis pas qu'il n'y a pas eu faute ou manquement, je dis simplement pour l'instant on ne sait pas, et il faut enquêter avant de tirer sur l'ambulance.
Après enquête, s'il y a eu des dysfonctionnement alors oui porter plainte peut aider à faire changer les choses, mais uniquement s'il y a des dysfonctionnement.

 

[Shvox]

Bonjour Shvox,

Vous trouvez qu'il n'y a pas assez de fonctionnaires en France ?

La seule solution, une pénalité de quelques milliards pour l'entreprise fautive et l'obligation de gérer les problèmes que cela a généré pour les clients.

Bonjour nono52,

Déjà rien ne dit que ce serait des fonctionnaires qui auraient cela en charge.
Ensuite il y a sûrement actuellement bien plus de fonctionnaires qui sont occupés à traiter les conséquences de ces vols de données et à traiter les dépôts de plaintes, les usurpations d’identité, enquêter, juger etc…
Et quand bien même je ne vois pas le problème l’essentiel étant que ce soit bénéfique à la société fonctionnaires ou pas.

Tout à fait d’accord pour les sanctions financières qu’il faudrait vraiment augmenter pour qu’elles deviennent dissuasives.

 

[Sans]

On. ne sait rien du piratage, du mode opératoire etc... alors parler de manquement peut à l'heure actuelle s'apparenter à de la diffamation.
Je ne dis pas qu'il n'y a pas eu faute ou manquement, je dis simplement pour l'instant on ne sait pas, et il faut enquêter avant de tirer sur l'ambulance.
Après enquête, s'il y a eu des dysfonctionnement alors oui porter plainte peut aider à faire changer les choses, mais uniquement s'il y a des dysfonctionnement.

Mais si il n'y a pas eu faute ou manquement, la situation est encore pire ...
Ça veut dire que ce qui est demandé de par la loi à tous ces organismes pour les autoriser à nous demander et stocker nos données est insuffisants

 

[Shvox]

Tout-à-fait @Shvox , "c'est juste plus possible"

Mais un intermédiaire aurait les mêmes risques, peut-être pire, puisque toutes les attaques se concentreraient sur lui ...
Qu'en pense les pro en ce domaine du forum ?

Quant à un service de l'état 🤔 service des impôts, France identité, ANTS, France connect, hôpitaux ... déjà hackés , donc ?

Par contre déçu par FREE, pour ce prix 160 000€, FREE ou même NIEL aurait pu payer, et même plus ! Un pourboire pour lui !!!
Plus aucune conscience professionnelle dans cette société, pas FREE, dans la société en général 🙄🤣

Effectivement il faudrait évidement que ce soit bien sécurisé mais mieux vaut avoir un seul lieu de stockage bien sécurisé que des milliers mal sécurisés comme actuellement.
Quand on voit les cryptos on peut très bien s’en inspirer pour créer des systèmes fiables.

 

[Kephset]

Mais si il n'y a pas eu faute ou manquement, la situation est encore pire ...
Ça veut dire que ce qui est demandé de par la loi à tous ces organismes pour les autoriser à nous demander et stocker nos données est insuffisants 😳😳😳 😡

Il y a des obligations de moyens, et des règlements divers suivant les types de données, mais certainement pas d'obligation de résultat

 

[Sans]

Il y a des obligations de moyens, et des règlements divers suivant les types de données, mais certainement pas d'obligation de résultat

Le comble ! Pas d'obligation de résultats pour tous ces organismes , Etat inclu ?, mais obligation pour nous sans aucune possibilité de faire autrement , de les leur fournir !
En fait je suis vraiment naïf réf au post de @Buffeto