Faille de sécurité sur le site du PS : les responsables ont "pris ça par-dessus la jambe"

La Commission nationale de l'informatique et des libertés (Cnil) a sanctionné jeudi 27 octobre d'un avertissement public le Parti socialiste. Une faille de sécurité majeure a rendu accessibles les données de dizaines de milliers d’adhérents. Damien Bancal, fondateur du site Zataz, avait donné l’alerte en mai dernier. Mais "personne n’a réagi" au Parti socialiste, déplore ce journaliste spécialisé en cybersécurité.

#CNIL Fuites de données numériques : un phénomène "exponentiel" selon Damien Bancal, spécialiste cybersécurité pic.twitter.com/hAiL6dzpAz

— franceinfo (@franceinfo) 28 octobre 2016

"C’est cela qui est fou. L’entité alertée, ce n’était pas n’importe qui", explique-t-il. D’habitude on me répond très rapidement en me disant 'merci' et puis 'on prend en charge' (…). Sauf que là, cela a été un mutisme total. (Je suis entré en contact) sur Twitter avec l’un des membres de la gestion du site, qui a limite pris ça par-dessus la jambe."

"On pense d’abord à faire de jolies vitrines"

C’est pourquoi Damien Bancal a choisi de saisir la Cnil. Il y avait selon lui un risque pour les militants. "Pas de vie ou de mort", précise-t-il, mais "un véritable problème pour l’identité et la réputation numérique des personnes concernées". Les données, nom, prénom, numéro de téléphone, adresses électronique et postale et adresse IP à la portée de n'importe quel pirate informatique "auraient pu servir à une escroquerie". Avant de donner l'exemple d'un "pirate informatique" qui s'en prendrait aux militants : "Je me fais passer pour le Parti socialiste (…). Il suffit alors d’un email bien formulé pour leur faire envoyer (de) l’argent par Internet."

Cet expert en cybersécurité regrette que les partis politiques se préoccupent davantage de l’esthétique du site que de sécurité informatique : "On pense d’abord à faire de jolies vitrines (...), sauf qu’aujourd’hui il faut clairement intégrer (la sécurité) dans sa stratégie et dans le budget que l’on veut mettre en place."

Cette faille "avait été rendue possible par l’utilisation d’une technique non sécurisée d’authentification à la plateforme, a précisé jeudi la Cnil dans un communiqué. Elle a concerné plusieurs dizaines de milliers de primo-adhérents."