Un portail de visas britannique a expose les passeports et selfies de milliers de demandeurs, et la fuite n'est toujours pas corrigee
Selon TechCrunch, un site web tiers utilise dans le processus de demande de visa britannique a expose en ligne des documents sensibles, dont les passeports et les photos selfie de milliers de demandeurs.
Plus frappant encore, selon TechCrunch, au lieu de corriger le probleme, l'entreprise a repondu au media qui l'a revele par l'intermediaire d'avocats. Cela ressort comme une attitude en contradiction directe avec l'attente qu'une faille de securite soit traitee de maniere responsable.
Les demandes de visa contiennent certaines des donnees personnelles les plus sensibles d'un individu: documents d'identite, photographies biometriques et informations d'adresse, entre autres. L'exposition de telles donnees ouvre la porte a des risques comme le vol d'identite et la fraude.
Les processus de ce type, ou interviennent des prestataires tiers, ajoutent une couche de complexite supplementaire pour la securite des donnees. Lorsqu'un processus de service public est confie a une entreprise externe, la maniere dont se partage la responsabilite de proteger les donnees devient une question critique.
Dans les fuites de donnees, l'approche dite de 'divulgation responsable' prevoit que les chercheurs en securite ou les journalistes signalent les failles qu'ils identifient aux organisations concernees, et que ces organisations les corrigent. Le bon fonctionnement de ce processus compte pour la protection des utilisateurs.
Selon le recit de TechCrunch, le fait que dans ce cas la fuite n'etait toujours pas corrigee au moment de la publication signifie que les donnees des personnes concernees restent exposees. De telles situations soulignent l'importance d'une reaction rapide.
Les reglementations sur la protection des donnees fixent dans de nombreux pays certaines normes pour le traitement et la conservation des donnees personnelles. Dans de nombreuses juridictions, dont le Royaume-Uni, la notification des violations de donnees et l'information des personnes concernees sont etablies comme une obligation legale.
Cet incident montre une fois de plus a quel point la securite de l'infrastructure numerique utilisee dans les services publics est critique. Les processus qui impliquent de grands volumes de donnees sensibles, comme les systemes d'immigration et de visas, exigent une architecture de securite particulierement soignee.
Pour les utilisateurs, la fiabilite des plateformes ou sont partages des documents personnels ne peut souvent pas etre evaluee directement, car ces processus peuvent faire partie d'exigences officielles obligatoires. Cela fait peser la responsabilite sur les prestataires de services et les regulateurs.
Au final, le cas revele par TechCrunch met a l'ordre du jour d'importantes questions sur la securite des services tiers, la culture de la divulgation responsable et les obligations de protection des donnees. (Ceci est une information technologique; ce n'est pas un conseil en cybersecurite.)