Sécurité IT : DHL réagit à l’avertissement de la CNIL

La semaine passée, la Commission nationale de l’informatique et des libertés (CNIL) infligeait un carton jaune à DHL. Le transporteur écopait d’un avertissement public pour avoir laissé traîner plus de 680 000 fiches clients en libre accès sur Internet.

Référencées dans le moteur de recherche Google, les fiches en question renfermaient l’identité, les adresses e-mail, les numéros de téléphone et les coordonnées postales de personnes ayant demandé une seconde livraison pour un colis qu’elles n’avaient pas pu recevoir. On y trouvait également des informations relatives à la sécurisation des accès aux logements des clients concernés… ou encore à leur santé.

Interrogé par Silicon.fr, Patrick Goeuriot est revenu sur le déroulé des événements qui ont conduit au rappel à l’ordre de la CNIL. Le DSI de DHL évoque une faille affectant une petite application Web développée par un prestataire en 2006/2007 et permettant à un client de repositionner un rendez-vous pour une livraison.

Découverte par la CNIL lors d’un contrôle réalisé le 19 février 2013, cette vulnérabilité ne concernait pas, selon Patrick Goeuriot, l’accès public à l’application, lequel était sécurisé par un couple nom + numéro de bon de livraison. Le problème concernait uniquement l’accès réservé aux salariés de DHL France. Si bien que dans l’état actuel, « aucune plainte client n’a [encore] été enregistrée« . L’analyse des logs menée sur la base de données renfermant les 680 000 fiches n’a par ailleurs révélé aucun accès frauduleux.

Le DSI ne dément pas l’indexation dans Google, mais assure que l’accès aux informations nécessitait « la connaissance de commandes et de paramètres particuliers ». En d’autres termes, il était impossible de tomber sur la fiche d’un client en lançant simplement une requête sur son nom. « La CNIL s’est dotée d’outils puissants pour ses contrôles. Même insuffisamment sécurisé, l’accès aux fiches clients nécessitait de solides compétences techniques« , résume Patrick Goeuriot.

Neuf jours après le contrôle de la CNIL, DHL avait pris des mesures correctives. Cette réactivité ne lui avait pas pour autant épargné le courroux de la Commission, qui avait en l’occurrence constaté d’autres manquements dans cette affaire. En tête de liste, une durée de conservation des données « non adaptée à la finalité de […] traitement » : certaines fiches stockées dans la base de données liée à l’application de relivraison dataient de 2007. DHL a depuis lors régularisé cet écueil en limitant l’archivage des données à un mois.

« Au sein du groupe, nous évoluons vers un système d’information de plus en plus centralisé et mondial, dans lesquels les règles de sécurité et de conservation des données sont très strictes« , assure Patrick Goeuriot. « Là, nous sommes dans le cas de la petite application conçue en dehors de cet environnement global et pensée pour une durée de vie limitée. Sans toute la rigueur nécessaire« , reconnaît le DSI.

Depuis le contrôle de la CNIL, l’application litigieuse a été remplacée et la durée de conservation des données, limitée à un mois. Et la sécurité a été « scrutée à la loupe ». Ironie du sort : l’application de relivraison devait de toute façon être remplacée… un mois après le contrôle de la CNIL. A quelques jours près, la faille aurait pu donc passer totalement inaperçue.

—— A voir aussi ——
Quiz ITespresso.fr : maîtrisez-vous vos informations personnelles sur Internet ?

Crédit illustration : koya979 – Shutterstock.com