Six fuites, six métiers : ce que chaque base contient

Le fichier attribué à Tisséo pèse 1,22 Go pour 13 446 lignes. Environ 2 600 relèvent de l’annuaire des salariés. Près de 10 000 sont des enregistrements de commandes : fournisseurs, marchés, codes d’achat.

Ce détail ne figure dans aucun décompte. Il est pourtant ce qui distingue cette base des cinq autres publiées le même jour, par le même pseudonyme.

Nous avons décrit ailleurs le schéma d’ensemble de ces six alertes : un seul auteur, une seule journée, aucune confirmation par les organisations nommées. Cette réserve vaut pour tout ce qui suit. Les volumes et les champs cités proviennent de l’auteur de la publication et des échantillons analysés par les trackers, pas des organisations concernées. Aucune des six n’a communiqué à ce jour.

Reste à ouvrir les fichiers un par un. Ils ne se ressemblent pas.

Ce que chaque base expose

Formation — Préférence Formations, 5 265 personnes

Un CSV de 375 Ko, 5 381 lignes. Les champs : identifiant numérique, nom, prénom, adresse électronique, ville, pays, fuseau horaire.

Rien de sensible au sens de l’article 9 du RGPD. Mais un organisme de formation écrit en permanence à ses apprenants : convocations, liens de connexion, attestations en fin de parcours. Un message annonçant « votre attestation est disponible » arrive dans un contexte que le destinataire attend. C’est là que le fichier prend de la valeur, pas à la revente.

L’organisme est responsable de traitement pour ces personnes. Si la fuite est établie, l’article 33 du RGPD ouvre soixante-douze heures pour notifier la CNIL, et l’article 34 impose d’informer les personnes dès lors que le risque pour elles est élevé.

Santé — Clinique de Vontes, 4 111 personnes

Aucune donnée médicale de patient dans les échantillons analysés. Les personnes listées sont des salariés et des professionnels de santé.

Le fichier est en revanche beaucoup plus riche que le précédent : fonction, métier, établissement de rattachement, service de soins, groupes utilisateurs, et une colonne indiquant le statut administrateur.

Cette dernière mérite qu’on s’y arrête. Un annuaire dit qui travaille où. Une colonne « administrateur » dit par où commencer. Elle transforme une liste de contacts en ordre de priorité.

Second point : plusieurs profils renvoient à d’autres établissements et au groupe INICEA. L’alerte porte le nom d’une clinique, le périmètre semble plus large. Dans un groupe, la question de savoir qui est responsable de traitement et qui notifie se tranche avant l’incident, pas pendant.

Transport — Tisséo, 2 877 personnes

Matricules, sexe, fonction, catégorie professionnelle, coordonnées internes, identifiants de connexion sans mot de passe associé. S’y ajoutent les soldes de repos et de congés, et le bloc de commandes évoqué plus haut.

Deux trackers ne donnent ni le même décompte ni la même entité : 2 877 personnes pour FrenchBreaches et Cyberattaque.org, 3 234 agents et « Tisséo Voyageurs » pour Fuites Infos. Nous retenons le chiffre bas et signalons l’écart plutôt que de choisir en silence.

Le croisement est ce qui compte ici. Qui est absent cette semaine, qui signe les achats, chez quel fournisseur. Une demande de changement de coordonnées bancaires envoyée au bon moment, au nom du bon fournisseur, pendant l’absence du bon responsable, ne ressemble plus à une fraude. Elle ressemble à du travail.

Industrie — Charbonneaux-Brabant, 2 863 enregistrements

La seule des six à comporter un champ de mot de passe. Aussi : identifiant, pseudonyme, nom, adresse électronique, fonction ou profil professionnel, entreprise ou secteur d’activité, langue du compte.

Cette structure ressemble à un espace extranet ouvert à des clients ou distributeurs, pas à un annuaire interne. Le champ « mot de passe » ne dit pas s’il est stocké en clair, haché faiblement, ou correctement. Personne ne le sait publiquement.

L’action ne dépend pas de la réponse. Toute personne ayant un compte sur ce type d’espace doit changer son mot de passe partout où elle l’a réutilisé. La réutilisation reste le mécanisme par lequel une fuite anodine devient une intrusion ailleurs.

Éducation — Collège Saint-Michel, 1 836 personnes

Un CSV de 105 Ko, 1 838 enregistrements, attribué à moodlestmichel.be. Identifiants, noms, prénoms, adresses électroniques, informations de localisation. Aucun mot de passe observé dans l’échantillon.

L’établissement est belge. Cela a une conséquence pratique que le classement de l’alerte dans un fil « fuites françaises » fait perdre de vue : l’autorité compétente est l’Autorité de protection des données, à Bruxelles. La CNIL n’a rien à connaître de ce dossier.

Et une population scolaire signifie des mineurs. L’article 8 du RGPD leur accorde une protection renforcée ; le seuil de risque justifiant l’information des personnes s’abaisse d’autant.

Artisanat — CMA Occitanie, 1 029 personnes

La plus petite base, et probablement la plus rentable. Un CSV de 60 Ko sur crma-occitanie.fr : identifiants, noms, prénoms, adresses électroniques professionnelles, informations géographiques ou organisationnelles.

Une chambre de métiers écrit légitimement aux artisans au sujet de leurs obligations, de l’apprentissage, des aides. Elle est attendue et elle fait autorité. Ses destinataires sont des entreprises de une à dix personnes, sans service informatique, souvent sans procédure écrite. Un courriel usurpant une CMA se heurte à très peu d’obstacles.

Le fil qui pourrait relier quatre des six

Regardez les colonnes de Préférence Formations : identifiant, prénom, nom, adresse électronique, ville, pays, fuseau horaire. Ce sont exactement les champs de la table mdl_user de Moodle, la plateforme d’apprentissage libre. Le Collège Saint-Michel, lui, est explicitement désigné par son sous-domaine Moodle. Charbonneaux-Brabant expose pseudonyme, mot de passe et langue, trois autres colonnes de la même table.

Nous posons cela comme une hypothèse, pas comme un constat : aucune organisation n’a confirmé sa plateforme, et ces champs existent dans bien d’autres logiciels.

Si elle se vérifie, elle change la nature du problème. Il ne s’agirait pas de six organisations à sécuriser séparément, mais d’une famille d’applications à aller inspecter : la plateforme de formation en ligne installée il y a des années, rarement mise à jour, dont plus personne ne sait qui détient les comptes administrateurs. C’est précisément l’angle mort que nous traitons dans la formation Sécurité de l’information et protection du patrimoine.

Où l’IA intervient, et où elle n’intervient pas

Rien n’indique qu’un outil d’intelligence artificielle ait servi à obtenir ces bases. Ce n’est pas la question.

La question est ce que devient un jeu de six fichiers structurés, publiés gratuitement, une fois qu’un modèle de langage peut les lire. Croiser un annuaire, un export RH et un journal de commandes pour produire dix messages crédibles adressés aux bonnes personnes était un travail d’analyste, facturé en jours. C’est aujourd’hui une opération de quelques minutes sur des CSV.

L’attaque ne devient pas plus intelligente. Elle devient abordable à des volumes qui ne l’étaient pas.

Deux vérifications à lancer

Cherchez votre plateforme d’apprentissage dans votre inventaire d’applications. Version, comptes administrateurs actifs, comptes dormants, date du dernier correctif. Si elle n’est pas dans l’inventaire, vous venez de trouver un problème plus grave que celui-ci.

Puis relisez vos journaux avant de communiquer. L’article 32 du RGPD attend des mesures proportionnées au risque ; il ne demande pas de réagir à une revendication non vérifiée. Nos formations en cybersécurité partent de cet ordre-là : constater, puis agir.

Une question pour finir, à poser à qui héberge votre plateforme de formation : combien de comptes administrateurs existent aujourd’hui, et à quand remonte la dernière fois que quelqu’un a regardé cette liste ?