IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

La CNIL inflige une amende de 100 000 euros à Darty suite à une enquête
Qui a établi que les données de nombreux clients étaient accessibles en ligne

Le , par Stéphane le calme

397PARTAGES

8  0 
En février, le site spécialisé Zataz avait remarqué qu’en modifiant l’adresse Internet reçue de Darty pour le suivi d’une demande adressée au service après-vente, il était possible d’accéder à toutes les autres demandes – et donc aux informations personnelles de leur auteur. Il a donc entrepris de prévenir la CNIL d’une violation de données à caractère personnel à partir de l’URL http://darty.epticahosting.com/selfd...ty/register.do . L’éditeur indiquait que cette violation aurait permis d’accéder à plusieurs milliers de données de clients de la société.
Aussi, une délégation de la Commission a procédé à des missions de contrôle en ligne et sur place au sein des locaux de la société les 2 et 15 mars 2017.

Lors du contrôle en ligne du 2 mars 2017, la délégation a constaté que l’URL http://darty.epticahosting.com/selfd...ty/register.do renvoyait vers un formulaire permettant aux clients de la société de déposer une demande de service après-vente. Une fois le formulaire obligatoirement complété d’une adresse électronique et d’un mot de passe, un lien hypertexte correspondant au numéro d’enregistrement de la demande permettait d’accéder à son suivi. La délégation a constaté que cet identifiant (un numéro de ticket ) est contenu dans l’adresse URL construite de la façon suivante : http://darty.epticahosting.com/selfd...ests.do?id=XXX . Elle a relevé qu’en modifiant le numéro d’identifiant dans cette adresse URL, les fiches de demande de service après-vente remplies par d’autres clients de la société étaient accessibles.

La délégation a ainsi pu relever que 912 938 fiches étaient potentiellement accessibles et a procédé au téléchargement, par échantillonnage, de 7417 d’entre elles. Il a été constaté que des données à caractère personnel de clients étaient accessibles sur des fiches, telles que leur nom, prénom, adresse postale, adresse de messagerie électronique ainsi que leurs commandes.
À l’issue du contrôle, la délégation a pris contact avec la société pour l’informer de l’existence de cette violation de données à caractère personnel.


Lors du contrôle sur place effectué au sein des locaux de la société le 15 mars 2017, ayant pour objet de vérifier les mesures correctrices prises à la suite de la révélation de la violation de données, la délégation a été informée du fait que la société utilise pour la gestion des demandes de service après-vente de ses clients un outil fourni par son sous-traitant, la société EPTICA.
Si le formulaire problématique n’a pas été développé par Darty, mais par un prestataire, cela « ne décharge pas [Darty] de son l’obligation de préserver la sécurité des données traitées pour son compte, en sa qualité de responsable du traitement. La société aurait dû s’assurer préalablement que les règles de paramétrage de l’outil mis en œuvre pour son compte ne permettaient pas à des tiers non autorisés d’accéder aux données des clients. »

Cet outil est en principe alimenté par deux sources : le formulaire de demande de service après-vente accessible depuis le site de la société www.darty.com et les demandes adressées par courrier électronique à une adresse dédiée. Le formulaire accessible depuis l’URL litigieuse http://darty.epticahosting.com/selfd...ty/register.do constitue une troisième source d’alimentation. Ce dernier formulaire, dont la société indique n’avoir pas eu connaissance, correspond au formulaire natif développé et commercialisé par la société EPTICA dans sa solution de gestion des demandes de service après-vente. La société a précisé qu’elle ne l’utilisait pas et qu’il n’aurait pas dû être accessible.

La délégation de la CNIL a, en outre, été informée de ce que l’URL de la forme http://darty.epticahosting.com/selfd...ests.do?id=XXX permet d’accéder à l’intégralité des demandes contenues dans l’outil de gestion des demandes de service après-vente, y compris aux demandes formulées via le formulaire disponible sur le site www.darty.com et par courriers électroniques.
La société lui a également indiqué avoir contacté la société EPTICA dès le 6 mars 2017 afin qu’elle prenne les mesures nécessaires, cette dernière lui ayant précisé que les modifications, non aisées à déployer, n’étaient pas mises en place.

La délégation a alors constaté qu’en modifiant l’identifiant numérique dans l’URL http://darty.epticahosting.com/selfd...ests.do?id=XXX , 918 721 fiches de demande de service après-vente de clients étaient toujours accessibles, dont 5783 nouvelles fiches créées depuis le contrôle en ligne.
Après avoir délibéré, la formation restreinte de la CNIL a décidé :
  • de prononcer une sanction pécuniaire à l’encontre de la société ÉTABLISSEMENTS DARTY ET FILS d’un montant de 100 000 (cent mille) euros ;
  • de rendre publique sa délibération, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.


« La formation restreinte relève que la société a fait preuve de négligence dans le suivi des actions de son sous-traitant, ce qui a permis l’accessibilité de données à caractère personnel variées et directement identifiantes se rapportant à de nombreux clients.

« Si la formation restreinte prend acte de l’absence de traitement de données sensibles telles que définies à l’article 8 de la loi du 6 janvier 1978 modifiée ou de données bancaires, pour autant, elle considère que le manquement à la sécurité et à la confidentialité est grave en raison de la multitude de catégories de données traitées qui révèlent des informations sur les personnes et leur vie privée, au travers notamment des commandes passées.

« La formation restreinte note, en revanche, que la société a réagi dès qu’elle a eu connaissance de la violation de données en alertant son sous-traitant et qu’il a été mis fin à la violation de données dans un délai raisonnable. Elle relève également que la société a pris l’initiative, après la survenance de la violation de données, de faire procéder à un audit de sécurité en août 2017 sur la nouvelle version de l’outil de gestion des demandes de service après-vente proposé par son prestataire. Elle note, enfin, sa bonne coopération avec la Commission.

« Au regard de ces éléments, une sanction d’un montant de 100 000 (cent mille) euros apparaît proportionnée. »

La Commission aurait pu décider de garder la sanction secrète. Elle a décidé de la rendre publique afin de « sensibiliser les internautes quant au risque pesant sur la sécurité de leurs données. »

Source : journal officiel

Et vous ?

Que pensez-vous de cette décision ?
Partagez-vous le point de vue de la CNIL qui estime qu'un établissement peut porter la responsabilité d'un travail qui lui a été livré par un sous-traitant ?

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de fmanisse
Membre habitué https://www.developpez.com
Le 10/01/2018 à 16:29
Honnêtement, c'est bien fait et ça aurait dû être plus lourd parce qu'ils n'en sont pas à leur coup d'essai en la matière ...

Petit témoignage :

En septembre 2015, en me connectant sur mon compte DARTY, je vois des dizaines de factures d'appareils qui ne sont pas achetés par moi. Sur ces factures, les noms, les adresses, parfois plus ...
Je notifie Darty immédiatement, je n'ai pas de réponse. Même pas un "on s'en occupe...".

le mois suivant je dépose plainte à la cnil, et j'aurais finalement un échange avec darty début 2016
Le problème sera finalement réglé fin janvier 2016.

Donc pendant 5 mois, dont de nombreux mois sans aucun signe de vie, j'aurai eu accès aux données personnelles de tiers (et je suppose que des inconnus auront eu accès aux miennes du coup).

Le problème venait du fait que l'adresse de livraison était un magasin darty et non pas l'adresse de la personne, et j'avais donc accès aux factures des gens partageant cette adresse de livraison.

5 mois ...
7  0 
Avatar de Doksuri
Expert confirmé https://www.developpez.com
Le 10/01/2018 à 10:23
Citation Envoyé par Marco46 Voir le message
Et ben ! C'est la bonne grosse boulette de stagiaire lol
pas forcement, beaucoup de grosses boites ne font rien tant qu'on ne leur tape pas sur les doigts
5  0 
Avatar de Neckara
Inactif https://www.developpez.com
Le 10/01/2018 à 17:02
Citation Envoyé par AoCannaille Voir le message
Il faut garantir la règle constitutionnelle d'être égaux face à la loi.
Le problème, c'est qu'en fonction de ta richesse tu peux mieux te permettre certaines choses.

Si j'ai 1 milliard d'euros, payer 1 million, c'est rien.
Si j'ai 10 000€... à moins de vendre quelques reins, cela va être compliqué.

En gros, cela reviendrait à pouvoir se payer le droit d'enfreindre la loi.
5  0 
Avatar de BenaeSan
Membre régulier https://www.developpez.com
Le 10/01/2018 à 11:27
J'ai déjà vu ça dans une petite boîte qui bossée pour un grand groupe français, les identifiants et Mdp transitent en clair dans les urls en GET envoyés dans des e-mails.

Je rejoins l'avis de @Doksuri, c'est plus fréquent qu'on ne pense.
Par contre pour la responsabilité, c'est quand même clairement Darty qui est en tort. Ils ont pris ce presta qui a proposé cette solution et c'est bien quelqu'un de chez Darty qui a dû valider.
4  0 
Avatar de Jipété
Expert éminent sénior https://www.developpez.com
Le 10/01/2018 à 23:36
Citation Envoyé par AoCannaille Voir le message
Ce qui peut faire joliment monter l'amende finale.
Aucune importance puisque, in fine, les amendes sont payées par les clients, à travers le prix de vente des produits.

Ça serait bien, d'ailleurs, que ceux qui infligent des amendes aux entreprises et sociétés dont les rentrées d'argent proviennent de la vente de produits et services arrêtent ce système qui nous fait payer les dites amendes !
Faudrait les remplacer par des peines de prison, tiens, peut-être qu'ils réfléchiraient à deux fois avant de faire n'importe quoi, même si au bout du compte la prison c'est nous qui la payons à travers les impôts, cette fois.
4  0 
Avatar de Marco46
Expert éminent sénior https://www.developpez.com
Le 10/01/2018 à 10:17

Elle a relevé qu’en modifiant le numéro d’identifiant dans cette adresse URL, les fiches de demande de service après-vente remplies par d’autres clients de la société étaient accessibles.

La délégation a ainsi pu relever que 912 938 fiches étaient potentiellement accessibles et a procédé au téléchargement, par échantillonnage, de 7 417 d’entre elles. Il a été constaté que des données à caractère personnel de clients étaient accessibles sur des fiches, telles que leur nom, prénom, adresse postale, adresse de messagerie électronique ainsi que leurs commandes.
Et ben ! C'est la bonne grosse boulette de stagiaire lol

On notera les url en http au lieu de https, c'est bô.


La société lui a également indiqué avoir contacté la société EPTICA dès le 6 mars 2017 afin qu’elle prenne les mesures nécessaires, cette dernière lui ayant précisé que les modifications, non aisées à déployer, n’étaient pas mises en place.
C'est une blague c'est pas possible lol

la société a fait preuve de négligence dans le suivi des actions de son sous-traitant
Le truc c'est que de ce que je vois sur le site de Eptica il ne s'agit pas d'une SS2I qui a réalisé un produit au forfait pour le compte de Darty mais bien d'un éditeur de logiciel qui fournit donc une solution générique (ça doit donc se reproduire ailleurs).

Est-ce qu'une société cliente peut attaquer une société fournisseur en justice parce qu'il y a des failles de sécu dans l'absolu, même énormes ? Ça dépend pas du contrat ?

Le problème c'est que souvent on a ça avec les logiciels :


THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT HOLDER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
Ce qui en français signifie, tu choisis d'utiliser le logiciel, très bien, mais aucun dommage d'aucune sorte ne peut être porté à la responsabilité des auteurs du logiciel.

Bon là c'est quand du lourd mébon ... C'est au delà de la faille c'est juste de l'incompétence mais quand même c'est compliqué en terme de responsabilité, je vois pas trop comment on peut tenir Darty responsable.
3  0 
Avatar de Marco46
Expert éminent sénior https://www.developpez.com
Le 10/01/2018 à 10:57
Désolé mais ne pas check que les données que tu sers sont bien celles du client connecté c'est de l'ordre de la boulette de stagiaire. Allez c'est niveau junior avec 1 an d'xp. Faut arrêter lol
3  0 
Avatar de Neckara
Inactif https://www.developpez.com
Le 10/01/2018 à 11:33
Citation Envoyé par Marco46 Voir le message
Est-ce qu'une société cliente peut attaquer une société fournisseur en justice parce qu'il y a des failles de sécu dans l'absolu, même énormes ? Ça dépend pas du contrat ?
Du contrat et de la licéité des clauses invoquées.

En l'absence de clauses sur le sujet, ce sera la loi ou la jurisprudence qui s'appliquera.
À priori on pourrait faire valoir une non-conformité du produit (?), voire peut être même des vices cachés.

Citation Envoyé par Marco46 Voir le message
Le problème c'est que souvent on a ça avec les logiciels :

Ce qui en français signifie, tu choisis d'utiliser le logiciel, très bien, mais aucun dommage d'aucune sorte ne peut être porté à la responsabilité des auteurs du logiciel.
À partir du moment où tu payes, il y a contrat de vente, avec tout ce que cela implique.
La clause sera ainsi très certainement déclarée nulle, faisant valoir que le prestataire a au minimum une obligation de moyens.

Citation Envoyé par Marco46 Voir le message
mais quand même c'est compliqué en terme de responsabilité, je vois pas trop comment on peut tenir Darty responsable.
Les "contrats" sont entre les clients et Darty. Darty est donc responsable, quoi qu'il advienne.
Ce ne sont pas aux clients de se retourner contre le prestataire de Darty qui a la responsabilité de ses propres prestataires. C'est à Darty de choisir soigneusement ses prestataires et d'effectuer les actions et contrôles adéquats afin de s'assurer et de garantir la qualité des prestations.

En revanche, Darty peut par la suite se retourner contre ses prestataires car il a lui-même un contrat avec eux.

Pour résumé on a :
Clients <-> Darty <-> Prestaires.

L'interlocuteur des clients est Darty, et celui de Darty sont les prestataires. En cas de problèmes, les clients doivent s'adresser à Darty, et Darty à ses prestataires.

Citation Envoyé par Marco46 Voir le message
Désolé mais ne pas check que les données que tu sers sont bien celles du client connecté c'est de l'ordre de la boulette de stagiaire. Allez c'est niveau junior avec 1 an d'xp. Faut arrêter lol
Ce n'est pas très gentil envers les stagiaires.

Quoi qu'il en soit, les boulettes peuvent arriver à tout le monde, stagiaire ou vétéran, et c'est aussi à l'entreprise de contrôler et de garantir la qualité du code... encore plus quand il est produit par des stagiaires.
3  0 
Avatar de MiaowZedong
Membre extrêmement actif https://www.developpez.com
Le 10/01/2018 à 14:39
Le truc, c'est que €100 000 ce n'est rien pour une grosse boite. Ça peut couler une PME, certes, mais ce n'est rien pour une grosse. Si la CNIL pouvait prononcer des amendes en pourcentage du CA, je suis sûr que Darty aurait été plus empressé à corriger la faute.
3  0 
Avatar de fmanisse
Membre habitué https://www.developpez.com
Le 12/01/2018 à 9:24
Citation Envoyé par Neckara Voir le message
Heu... non, le but d'une hiérarchie n'est pas de trouver des responsables/boucs émissaires.

Une responsabilité individuelle, c'est compliqué:
  • a-t-on donné à l'employé les moyens de mener à bien sa mission (temps, ressources);
  • l'employé a-t-il reçu des ordres ou des pressions, même tacites ?
  • l'employé a-t-il caché la chose à ses responsables hiérarchiques ?
  • le responsable hiérarchique a-t-il bénéficié de la chose ?
  • etc.


C'est d'ailleurs pour cela qu'un employé n'est presque jamais responsable (sauf pour certaines juridictions), mais son entreprise l'est, sauf si 3 conditions suivantes sont remplies (de tête):
  • l'employé doit avoir effectué l'acte en dehors de son service (ou assimilé);
  • l'employé ne doit pas avoir effectué l'acte dans l'intérêt de l'entreprise;
  • l'employé ne doit pas en avoir reçu l'ordre.


La question n'est pas simple et est plus compliqué de des yaka.
Je suis d'accord avec toi, avec une petite précision :

Lorsqu'une plainte contre une entreprise va au pénal et que des peines de prisons sont envisagées au regard des conséquences, c'est toute la chaîne qui morfle, du petit opérateur qui a fait l'action (ici un programmeur) au patron. Les raisons contre la hiérarchie sont explicites : c'est les donneurs d'ordres, mais il arrive qu'on incrimine aussi l'employé de base qui s'est contenté d'obéir car on lui opposera qu'il se devait d'effectuer son droit de retrait.

C'est, en tout cas, ce qu'on apprend dans les formations sécurité type GIES2 lorsqu'on va bosser sur des sites indus, et ça se fait à base de cas réels (tel type a pris 2 ans avec sursis pour être monté quand même dans sa grue par grand vent, même si on reconnait que son patron l'a menacé : il aurait dû refuser, quitte à être viré ... a cause du vent la grue déployée est tombée sur une école). Ce n'est pas moral, ce n'est peut être pas juste, mais ça arrive ...

Donc on peut quand même, en étant le bas de la chaîne, se retrouver condamné si les choses vont jusqu'à une condamnation. Violer la loi sur la protection des données, même si on a agit sur un ordre, voire sous la contrainte (tu le fais ou tu es viré), est condamnable. Tant qu'on est sur des cas comme avec Darty, je ne pense pas que cela arrive, mais un jour, une faille de sécurité va entraîner des conséquences lourdes, des morts, et des programmeurs qui se sont contentés d'obéir pourraient avoir une mauvaise surprise au tribunal.

Maintenant, si on m'ordonnait de déployer une appli web sensible comportant une faille de sécurité identifiée, j'aimerais croire que j'aurai assez de volonté pour utiliser mon droit de retrait...
3  0