La direction de France Travail avait été alertée par ses services informatiques qu'une faiblesse dans la sécurité pourrait être exploitée en cas d'attaque. Or c’est exactement ce qui s’est passé en mars 2024, lorsque 43 millions d’usagers ont vu leurs données piratées.
Ce n’est pas rassurant d’entendre ça. D’une part car la faille est vraiment basique et n’aurait jamais dû exister dans un tel service, mais aussi parce qu’ils étaient au courant de cette possibilité depuis 2022 et qu’encore aujourd’hui, ils semblent se chercher des excuses plus qu’autre chose.
EDIT:
Cette citation me désespère : “On traite un maximum de recommandations des équipes de sécurité, mais certaines sont plus lourdes à mettre en place que d’autres.”
Traduction : on savait qu’il existait une énorme faille de sécurité exploitable par des personnes sans la moindre compétence informatique et que n’importe qui travaillant avec nous était capable d’identifier, mais on a rien fait car c’était chiant à mettre en place.
Ce n’est pas rassurant d’entendre ça. D’une part car la faille est vraiment basique et n’aurait jamais dû exister dans un tel service, mais aussi parce qu’ils étaient au courant de cette possibilité depuis 2022 et qu’encore aujourd’hui, ils semblent se chercher des excuses plus qu’autre chose.
EDIT: Cette citation me désespère : “On traite un maximum de recommandations des équipes de sécurité, mais certaines sont plus lourdes à mettre en place que d’autres.”
Traduction : on savait qu’il existait une énorme faille de sécurité exploitable par des personnes sans la moindre compétence informatique et que n’importe qui travaillant avec nous était capable d’identifier, mais on a rien fait car c’était chiant à mettre en place.
spoiler : social engineering + pas de 2FA pour 1 des 3 failles, oui :(
la 2e partie de l’émission et l’interview du consultant en cybersécurité sur les “failles restantes” est clairement “creepy” aussi :(
L’émission parle de vieux sites qui sont restés en ligne, pas de faille restantes.
Ça n’est pas rassurant, mais pas la peine d’en rajouter.
Des logiciels pas à jour avec des exploits connus et qui ont accès à des données sensibles, c’est équivalent à des « failles restantes ».