La série noire continue : les données des Français fuitent de partout. Cette fois, c'est l'AFPA, l'Agence nationale pour la formation des adultes, qui vient d'annoncer un piratage pouvant toucher jusqu'à 1,7 million de personnes.

Deux hackers ont revendiqué avoir exfiltré une base de données contenant noms, adresses postales et numéros de téléphone. Ni données bancaires ni numéros de Sécurité sociale, selon les premières déclarations — mais un nom, une adresse et un numéro de téléphone, c'est exactement ce qu'il faut pour monter une arnaque ciblée et crédible.

Le maillon faible, une fois de plus : la sous-traitance

Le détail qui ne surprendra personne : la faille ne vient pas des systèmes internes de l'AFPA, mais d'un outil géré par un éditeur tiers, utilisé pour la gestion des hébergements des stagiaires. L'organisme précise que cet outil est totalement externe à son système d'information, et qu'aucun impact n'a été constaté sur ses services centraux.

Autrement dit : l'AFPA a confié vos données à un prestataire externe. Ce prestataire a été piraté. Et c'est vous qui payez.

C'est le scénario classique de la sous-traitance numérique : votre organisme de formation fait confiance à un fournisseur, ce fournisseur fait confiance à un autre, et quelque part dans cette chaîne, la sécurité devient très fragile.

Ce que vous pouvez réellement contrôler

Vous n'avez aucun contrôle sur la sécurité de la chaîne de sous-traitance d'un organisme auquel vous avez confié vos données. Ce que vous pouvez contrôler, c'est l'étendue des dégâts quand ça arrive, et à quel niveau de protection vous êtes actuellement pour empêcher les arnaques de vous affecter.

Moins de données exposées = moins de surface d'attaque. C'est exactement le principe des fiches #1 et #2 du Projet Protocol.

Je vous offre la fiche #1 pour vous encourager à commencer. Téléchargez-la ici 🎁

Source : actu.fr.