La Cnil sanctionne de 150.000 € et 75.000 € un responsable de traitement et son sous-traitant pour ne pas avoir pris de mesures satisfaisantes pour faire face à des attaques par "credential stuffing".
Après avoir reçu plusieurs dizaines de notifications de violations de données personnelles, la Commission nationale de l'informatique et des libertés (Cnil) a constaté que le site web concerné, à partir duquel plusieurs millions de clients effectuent régulièrement des achats, avait subi de nombreuses vagues d’attaques de type "credential stuffing".
Il s'agit, au moyen de "robots", de tenter un grand nombre de connexions sur des sites à partir de listes d’identifiants et de mots de passe publiées sur internet.
Les attaquants ont ainsi pu prendre connaissance des informations suivantes : nom, prénom, adresse courriel et date de naissance des clients, mais également numéro et solde de leur carte de fidélité et des informations liées à leurs commandes.
La formation restreinte de la Cnil a considéré que le responsable du traitement et de son sous-traitant avaient manqué à leur obligation de préserver la sécurité des données personnelles des clients, prévue par l’article 32 du règlement 2016/679 du 27 avril 2016 (RGPD).
En effet, les sociétés ont tardé à mettre en place des mesures permettant de lutter efficacement contre ces attaques répétées : elles avaient décidé de développer un outil permettant de détecter et de bloquer les attaques lancées à partir de robots, qui n'a été opérationnel qu'un an à compter des premières attaques.
Or, selon la Cnil, plusieurs autres mesures produisant des effets plus rapides auraient pu être envisagées, telles que :
- la limitation du nombre de requêtes autorisées par adresse IP sur le site web, qui aurait pu permettre de freiner le rythme auquel les attaques étaient menées ;
- l’apparition d’un CAPTCHA dès la première tentative d’authentification des utilisateurs à leur compte, très difficile à contourner pour un robot.
Du fait de ce manque de diligence, les données d’environ 40.000 clients du site web ont été rendues accessibles à des tiers non autorisés entre mars 2018 et février 2019.
En conséquence, la formation restreinte prononce deux amendes distinctes : 150 000 € à l’encontre du responsable de traitement et 75.000 (...)
