Sécurité des données personnelles : sanction CNIL pour mots de passe exposés et accès administratifs insuffisamment protégés

L’article 34 de la loi du 6 janvier 1978 modifiée impose au responsable de traitement de prendre toutes les précautions utiles, au regard de la nature des données et des risques, afin d’empêcher notamment l’accès de tiers non autorisés. La formation restreinte retient une obligation de moyens : le responsable conserve le choix des mesures techniques, mais doit démontrer qu’elles permettent effectivement de préserver la sécurité des données.

La présence constante, en clair, d’un mot de passe d’administration dans le code source constitue une précaution insuffisante. Des solutions alternatives devaient être recherchées, telles qu’un stockage interne sécurisé et une injection temporaire lors des tests. L’absence de limitation des accès administratifs externes constitue également un manquement ; un filtrage des adresses IP ou un VPN pouvait notamment empêcher les connexions illicites.

La sophistication de l’attaque et la mise en œuvre ultérieure de mesures correctives n’excluent pas le manquement lorsque des mesures élémentaires auraient empêché son aboutissement. Sur le fondement des articles 45 et 47 de la même loi, la sanction pécuniaire est déterminée selon la gravité du manquement, les avantages éventuels, la négligence, les mesures d’atténuation, la coopération et le volume de données concernées. Une sanction de 50 000 euros est prononcée et la décision est rendue publique.

⬇️Télécharger la décision version officielle

Une intrusion a permis l’extraction de 82,5 millions d’adresses électroniques et de 18,3 millions de mots de passe chiffrés. Un mot de passe de compte de service administrateur figurait en clair dans le code source, tandis que l’accès à l’interface d’administration depuis Internet était insuffisamment limité. La CNIL a considéré que ces mesures élémentaires auraient pu empêcher l’attaque et a prononcé une sanction de 50 000 euros publiée.

Une société anonyme exploitant une plateforme d’hébergement de vidéos a subi une intrusion ayant conduit à l’extraction de 82,5 millions d’adresses électroniques et de 18,3 millions de mots de passe chiffrés.

Le contrôle a révélé qu’un mot de passe associé à un compte de service disposant de privilèges d’administration figurait en clair dans le code source. L’accès à l’interface d’administration depuis Internet n’était pas suffisamment limité. La société a ensuite renforcé la sécurité de son système et coopéré avec la CNIL.

La formation restreinte a considéré que l’attaque, malgré sa sophistication, n’aurait pas abouti si l’une de ces mesures élémentaires avait été mise en place. Elle a retenu un manquement à l’article 34 de la loi du 6 janvier 1978 modifiée, puis prononcé une sanction pécuniaire de 50 000 euros et la publication de la décision.

• Prendre toutes les précautions utiles au regard des risques du traitement
• Empêcher l’accès de tiers non autorisés aux données personnelles
• Protéger les mots de passe d’authentification contre toute divulgation
• Sécuriser les connexions administratives à distance
• Mettre en place des mesures élémentaires dès la conception de la plateforme
• Tenir compte du volume de données et de la coopération pour sanctionner

• Constat du mot de passe d’administration en clair dans le code source
• Reconnaissance de l’absence de politique de mots de passe complexes
• Identification de 82,5 millions d’adresses électroniques extraites
• Transmission des données vers un serveur extérieur
• Mesure de sécurisation déployée seulement après la découverte de l’attaque

Le responsable de traitement est sanctionné pour ne pas avoir mis en œuvre des mesures élémentaires de sécurité, malgré la sophistication de l’attaque et sa coopération ultérieure. La décision est publiée en raison du volume très important de données concernées.

• Exclusion de l’argument tiré de la seule sophistication de l’attaque
• Sanction pécuniaire de 50 000 euros
• Publication de la décision pendant deux ans avant anonymisation
• Renforcement nécessaire de la gestion des secrets d’authentification
• Limitation des accès administratifs externes par filtrage ou VPN

À faire

• Retirer les mots de passe en clair du code source
• Stocker les secrets dans un environnement interne protégé
• Limiter les accès administratifs aux adresses autorisées
• Utiliser un VPN pour les connexions à distance
• Documenter les mesures de sécurité dès la conception

À éviter

• Conserver durablement un mot de passe dans le code source
• Autoriser des accès administratifs ouverts depuis Internet
• Reporter la sécurisation après la survenance d’une attaque
• Se fonder uniquement sur la sophistication des attaquants
• Négliger le volume de données accessibles en cas d’intrusion

L’obligation de sécurité des données personnelles

L’article 34 de la loi du 6 janvier 1978 modifiée impose au responsable de traitement de prendre toutes les précautions utiles pour empêcher l’accès de tiers non autorisés. La formation restreinte retient une obligation de moyens, laissant au responsable le choix des mesures précises, mais exigeant qu’elles soient suffisantes au regard des risques.

La protection des identifiants d’administration

La conservation constante, en clair, d’un mot de passe d’administration dans le code source est jugée insuffisante. La société devait rechercher une solution alternative, comme un stockage sécurisé sur le réseau interne et une injection temporaire pendant les tests. L’accès administratif externe devait également être sécurisé, notamment par filtrage des adresses IP ou VPN.

Les critères de la sanction pécuniaire

Selon les articles 45 et 47 de la loi du 6 janvier 1978 modifiée, la sanction tient compte de la gravité, de la négligence, des mesures d’atténuation, de la coopération et du volume de données concernées. La sophistication de l’attaque n’exclut pas la négligence lorsque des mesures élémentaires auraient empêché sa réussite. La sanction est fixée à 50 000 euros et rendue publique.

Convention n° 108 du Conseil de l’Europe du 28 janvier 1981, Loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978