Ouais, c'est comme doubler sa RAM grâce à un lien ...

Des failles de sécurité ahurissantes

La Cnil n’a pas de mot assez dur pour qualifier la légèreté de l’opérateur en matière de sécurité de ses fichiers client : « les sociétés n’avaient pas mis en œuvre certaines mesures élémentaires de sécurité qui auraient pu rendre l’attaque plus difficile », indique la sanction. Elle fustige ainsi la gestion des accès distants des employés de Free et de Free Mobile en télétravail, révélant que la procédure d’authentification des connexions VPN n’était « pas suffisamment robuste ». C’est d’ailleurs cette défaillance qui a permis à l’attaquant de s’introduire dans l’outil de gestion des abonnés sans grande difficulté.

L’opérateur a également été épinglé pour un manque criant de réactivité : le système n’a pas déclenché d’alerte alors que des volumes massifs de données étaient en train d’être extraits. « L’attaquant a pu accéder aux données des clients […], et ce pendant presque un mois, sans qu’une alerte ne soit émise ou, à supposer qu’une alerte ait bien été émise, sans que celle-ci soit traitée, ce qui a eu pour conséquence que la société n’a pas eu connaissance de l’accès non autorisé aux données avant que l’attaquant l’en informe lui-même », indique la décision de la Cnil. Ahurissant !

De plus, la Cnil a constaté que Free conservait les données d’anciens clients bien après le délai légal, augmentant mécaniquement le nombre de victimes.