Les parlementaires français peuvent encore mieux faire en matière de données exposées. La société suisse Proton, surtout connue pour sa messagerie éponyme, vient de boucler avec le spécialiste des recherches Osint Constella une étude intéressante sur ce sujet fort sensible. Les deux entreprises se sont penchées sur les traces sur le dark web de 2 280 adresses e-mail officielles de responsables politiques britanniques, français et européens.
Le résultat est mitigé pour les parlementaires de l’Hexagone. Certes, selon cette étude, les députés et les sénateurs ne sont que 18% à avoir des données exposées, contre 68% pour ceux du Royaume-Uni. Un bon résultat. Sauf que dans le même temps, les parlementaires français exposés ont laissé derrière eux un nombre bien trop important de données sensibles.
Serial fuiteur
L’un d’entre eux compte ainsi 137 violations de son adresse email professionnelle et 133 mots de passe exposés en clair. Au total, les deux entreprises ont compté 1306 fuites concernant des parlementaires français, dont 320 mots de passe exposés en clair. En moyenne, un responsable français compte 7,8 violations de données, contre 4,7 pour les britanniques.
L’intérêt de ces informations qui ont fuité est à relativiser. Les mots de passe peuvent être anciens ou avoir été immédiatement changés, par exemple. Mais ces fuites dénotent toutefois bien une certaine légèreté ou une inconscience en matière de sécurité informatique.
Comme le remarquent Proton et Constella, des emails officiels semblent avoir été utilisés pour s’inscrire sur des sites tels que LinkedIn ou même, dans un petit nombre de cas, des sites de rencontre. Ces responsables politiques se « mettent ainsi inutilement en danger », avertissent les deux entreprises.
Données sensibles
Ils attirent en effet l’attention avec ce genre d’adresse de messagerie qui signale explicitement leur statut. Du reste, alors qu’un mandat est par essence limité dans le temps, il n’est pas très pratique de lier ce genre d’adresse de messagerie à un compte qu’on pourra garder plus longtemps.
De façon plus générale, les recherches des deux entreprises leur ont permis de retrouver tout un tas d’informations sensibles liées à ces emails. Comme leur date de naissance, l’adresse de leur domicile, et leurs comptes sur les réseaux sociaux. « Ensemble, ces informations donnent aux attaquants de nombreux détails pour réaliser des attaques de phishing convaincantes », rappellent elles.
Et « même si une prise de contrôle hostile de l’un de ces comptes ne donnerait pas accès à des secrets d’État à un hacker (ou à un gouvernement étranger), elle pourrait révéler les communications privées de cet homme politique ou d’autres données sensibles », poursuivent-elles. Une matière première leur permettant alors de faire d’autres attaques par hameçonnage ou de mettre en place des tentatives de chantage. Les parlementaires français sont désormais prévenus.