Les données personnelles de 33 millions de personnes compromises entre mai et octobre, selon la CNIL

La Commission nationale de l'informatique et des libertés (CNIL) a fait le bilan après avoir reçus de nombreux signalements sur des violations de données personnelles. Dans un communiqué, publié mardi 16 octobre, la commission révèle que plus de 33 millions de personnes ont vu leurs données personnelles violées entre le 25 mai et le 1er octobre. 

Des piratages signalés depuis la mise en place d'une nouvelle réglementation européenne

Depuis l’entrée en application du Règlement général sur la protection des données (RGPD) le 25 mai dernier, ces violations de données personnelles susceptibles d’engendrer un risque pour les droits et libertés des personnes doivent être notifiées à la Commission nationale de l'informatique et des libertés par les plateformes touchées.

La CNIL a ainsi reçu 742 notifications de violations concernant un peu plus de 33,7 millions de personnes, en France et ailleurs. La quasi totalité de ces signalements (695) sont relatifs à des atteintes à la confidentialité de ces données.

La majorité des violations notifiées @CNIL trouve sa cause dans un acte externe malveillant. On parle d'actes de piratage effectués à l'aide de logiciels malveillants, de techniques d’hameçonnage. Pour limiter ces risques : https://t.co/bi5EHPwnx0 @cybervictimes pic.twitter.com/7ImHcjVwTe

— CNIL (@CNIL) 16 octobre 2018

Attention aux logiciel malveillant et au hameçonnage 

Deux tiers (65%) des violations de données notifiées à la CNIL ces quatre derniers mois ont pour origine un acte de malveillance, du piratage via un logiciel malveillant ou du hameçonnage. Plus rarement, dans 15% des cas, il s'agit d'une erreur humaine interne à l'entreprise. Dans les autres cas, il s’agit le plus souvent de causes inconnues ou non déterminées par l’organisme qui notifie, ou d’actes internes malveillants.

"Le secteur de l’hébergement et de la restauration est sur-représenté avec 185 notifications de violations", note la CNIL. Cela s'explique par une cyberattaque subie par une plateforme de réservations d'hôtels en ligne. Elle a "immédiatement averti tous ses clients de la violation et a mis en place un dispositif dédié afin de les accompagner dans leurs obligations", explique la Commission. Les hôteliers ont été invités à informer la CNIL et les clients dont les noms figuraient dans la base piratée.

Un appel à la prudence

Avec ce bilan, la CNIL rappelle des conseils de prudence aux entreprises : penser la sécurité dès le lancement d’un projet, effectuer régulièrement les mises à jour de sécurité sur les systèmes informatiques et informer régulièrement le personnel sur les risques et enjeux de la sécurité.