Une fuite de données met en circulation des adresses électroniques, des mots de passe chiffrés ou en clair, parfois des numéros de téléphone et des adresses postales, issus du système d'un prestataire ou d'un site auquel les personnes concernées avaient confié ces informations. Le détenteur du compte n'est prévenu ni rapidement ni systématiquement, et la réutilisation d'un même mot de passe sur plusieurs services transforme une fuite isolée en compromission générale. La surveillance de cette exposition relève d'une démarche technique distincte du suivi des mentions publiques, avec ses propres sources et ses propres obligations légales.
Services de notification d'exposition
Plusieurs bases publiques recensent les compromissions connues et acceptent une interrogation par adresse électronique ou par nom de domaine. Elles indiquent de quelle brèche provient l'enregistrement, à quelle date, et quelles catégories d'informations ont circulé. L'interrogation par domaine présente un intérêt particulier pour une organisation : elle recense d'un coup toutes les adresses professionnelles exposées, y compris celles de salariés partis depuis longtemps dont les comptes restent actifs. Un abonnement de notification évite la vérification manuelle et signale les nouvelles brèches à mesure qu'elles sont versées dans la base. Ces services ne fournissent jamais les mots de passe, ce qui serait illicite, mais seulement le constat de l'exposition.
Signaux d'un compte compromis
Un accès frauduleux laisse des traces que les journaux de connexion des services conservent. La plupart des messageries et des réseaux sociaux donnent accès à l'historique des sessions, avec la date, le type d'appareil et la localisation approximative issue de l'adresse IP. L'apparition d'une règle de transfert automatique dans une boîte électronique est un indice classique et souvent négligé : l'intrus la crée pour continuer à lire le courrier après un changement de mot de passe. Les demandes de réinitialisation non sollicitées, les notifications de double authentification reçues sans tentative de connexion et les messages envoyés depuis le compte sans action de son titulaire complètent la liste des signaux à relever.
Obligations du responsable de traitement
Le règlement général sur la protection des données impose au responsable du traitement de notifier une violation de données personnelles à l'autorité de contrôle dans les soixante-douze heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes. Lorsque le risque est élevé, les personnes concernées doivent elles aussi être informées, dans les meilleurs délais et en termes clairs. Toute violation, même non notifiable, s'inscrit dans un registre interne tenu à la disposition de l'autorité. Un sous-traitant qui subit l'incident informe son client sans délai, la notification restant à la charge du responsable du traitement.
Mesures après une exposition confirmée
Le changement du mot de passe du service concerné constitue la première mesure, suivie du changement sur tous les services où le même mot de passe a été réutilisé, ce qui suppose d'en tenir la liste. L'activation d'un second facteur d'authentification, par application dédiée plutôt que par message texte, neutralise la plupart des réutilisations d'identifiants volés. La révocation des sessions ouvertes et des applications tierces autorisées coupe les accès déjà établis, qu'un simple changement de mot de passe ne ferme pas toujours. La vérification des règles de transfert et des adresses de récupération vient ensuite. Enfin le dépôt d'une plainte garde son utilité quand l'exposition a été suivie d'une usurpation d'identité ou d'un préjudice financier, l'accès frauduleux à un système de traitement automatisé de données étant une infraction pénale en France.
surveillanceinternet.fr - Contacts et mentions légales