Ouest-France informe certains de ses abonnés d’un incident de sécurité ayant touché ses formulaires de souscription. Les données renseignées lors de l’inscription à l’offre jeunes du quotidien ont pu être compromises, avec un élément particulièrement sensible : la copie de la pièce d’identité transmise par les utilisateurs.
Dans un email dont Cyberattaque.org s’est procuré une copie, Ouest-France indique que ses formulaires de souscription ont été visés par un acte de cybermalveillance.
Les informations concernées comprennent les nom, prénom, adresse email, numéro de téléphone, adresse postale et copie de la pièce d’identité. Le journal précise en revanche qu’aucune donnée bancaire ni aucun mot de passe n’a été compromis.
L’offre jeunes d’Ouest-France est concernée
L’incident vise précisément les données renseignées lors de la souscription à l’offre jeunes Ouest-France.
Cette formule nécessite notamment de justifier son éligibilité. Selon le message envoyé aux personnes concernées, une copie de pièce d’identité pouvait ainsi être transmise directement lors de l’inscription.
Ouest-France indique que ces documents, ainsi que les coordonnées renseignées dans le formulaire, ont pu être concernés par l’incident.
Des copies de pièces d’identité potentiellement récupérées
C’est le point le plus sensible de cette fuite. Une copie de carte nationale d’identité ou de passeport contient beaucoup plus d’informations qu’une simple adresse email : identité complète, photographie, date et lieu de naissance, numéro du document et autres informations administratives peuvent y apparaître.
Associée à une adresse postale, un numéro de téléphone et une adresse email, cette copie peut fournir suffisamment d’éléments pour faciliter certaines tentatives d’usurpation d’identité ou rendre des fraudes beaucoup plus crédibles.
Le courrier d’Ouest-France ne précise toutefois pas si l’ensemble des copies de pièces d’identité présentes dans les formulaires a effectivement été extrait ni combien de documents sont concernés.
Aucune donnée bancaire ni mot de passe touché
Ouest-France précise explicitement que l’incident n’a pas compromis les RIB, numéros de carte bancaire ou mots de passe.
La fuite semble donc limitée aux informations transmises dans le cadre des formulaires de souscription concernés et aux documents qui y étaient joints.
Le nombre de personnes concernées n’est pas communiqué
L’email consulté par Cyberattaque.org ne donne aucun chiffre sur le nombre de personnes touchées.
Il n’est pas non plus possible de déterminer, à ce stade, sur quelle période les formulaires ont été exposés ni combien de souscriptions à l’offre jeunes étaient stockées dans l’environnement concerné.
Le message est adressé directement aux personnes identifiées comme potentiellement concernées par l’incident.
Ouest-France a saisi la CNIL
Le groupe indique avoir pris des mesures pour maîtriser l’incident et protéger les données dès qu’il en a eu connaissance.
La violation de données a également été notifiée à la Commission nationale de l’informatique et des libertés.
Ouest-France ne détaille cependant pas dans son message la faille exploitée, la date exacte de l’intrusion ou la méthode utilisée par les attaquants pour accéder aux formulaires.
Un risque important de phishing et d’usurpation d’identité
Le quotidien recommande aux personnes concernées une vigilance accrue face aux emails, SMS et appels téléphoniques demandant des informations personnelles ou bancaires.
Un attaquant disposant du nom, de l’adresse et de la copie d’une pièce d’identité peut disposer d’un contexte particulièrement convaincant pour se faire passer pour Ouest-France, une banque, un opérateur ou une administration.
Le risque est également plus important qu’avec une fuite classique de coordonnées : une pièce d’identité peut être réutilisée dans certaines tentatives de création de comptes, de fraude documentaire ou de constitution de faux dossiers.
L’origine exacte de la cyberattaque reste inconnue
Ouest-France parle d’un « acte de cybermalveillance » visant ses formulaires de souscription, sans fournir davantage de détails techniques.
Il est donc impossible pour l’instant de déterminer si les attaquants ont exploité une vulnérabilité du formulaire, compromis un compte disposant d’un accès aux inscriptions ou accédé à un stockage contenant les documents transmis par les abonnés.
L’incident est en revanche officiellement confirmé par Ouest-France, qui reconnaît que des données personnelles et copies de pièces d’identité ont pu être compromises. Le nombre de personnes concernées et l’étendue exacte de l’extraction restent encore inconnus.