Fuite de données personnelles à Pôle emploi ? Revente d’informations ? Piratage ?

Pôle Emploi

Voici la première contribution externe de ce blog, un article écrit par une amie qui révèle un problème de confidentialité important chez Pôle emploi : les données personnelles des usagers seraient dans la nature, utilisées pour envoyer du spam et probablement pour tenter des usurpations d’identité.

Après une rapide analyse des en-têtes de l’email en question, la piste Pôle emploi se confirme : l’adresse mail du destinataire est écrite entièrement en majuscule, ce qui est un usage peu courant… sauf dans l’interface de gestion des cordonnées du site de Pôle emploi.

Ce sont potentiellement des dizaines de milliers de noms, d’adresses postales et d’adresses emails qui sont dans la nature. Les plaintes d’usagers commencent à se répandre sur la toile, gageons que Pôle emploi aura une réaction adapté à l’ampleur du problème.

Cela fait plusieurs jours que des demandeurs d’emploi reçoivent des mails plutôt louches. Un blog alerte de ces faux entretiens d’embauche, et à voir le nombre de commentaires, on peut penser que de nombreux demandeurs d’emploi sont concernés.

Et j’en fais moi-même partie…

J’ai reçu un mail étrange hier. Il m’indique que suite à ma réponse à une annonce, je suis convoquée à un entretien pour un poste de chargée de clientèle. Le hic, c’est que je n’ai répondu à aucune annonce et qu’en plus je ne cherche absolument pas un poste de chargée de clientèle ! Passée ma surprise, je regarde avec un peu plus d’attention ce mail et plusieurs détails me sautent aux yeux : les tournures de phrase ne sont pas adaptées à ce type de démarche ; les fonctions de la personne que je dois rencontrer et de la personne qui m’envoie le mail ne sont pas précisées ; le mail d’envoi est un mail SFR… et surtout, le cabinet de recrutement qui me contacte n’existe pas, pas plus que l’entreprise qui souhaite si promptement me recruter.

Après m’être beaucoup interrogée sur le pourquoi d’une telle démarche et avoir parcouru les commentaires sur le blog cité ci-dessus, je me dis que l’hypothèse de l’usurpation d’identité est probable. Faire venir des individus en galère à un entretien, leur demander leur carte d’identité pour préparer le contrat qu’il reviendront signer le lendemain et ne jamais les revoir… bref profiter de la situation de galère des chômeurs. Même si ça me paraît quand même carrément tordu…

De toute façon, je n’avais pas prévu d’y aller. En fait, ce qui m’inquiète surtout c’est comment nos données personnelles ont été récupérées. En effet, nos nom, prénom, adresse mail, numéro de téléphone (pour certains), lieu d’habitation (habitant à Lille, je suis convoquée à Roubaix et non à Paris) et situation de chômage sont associés.
A part Pôle Emploi, aucun autre organisme ne dispose de l’ensemble de ces informations (pas la peine de me contredire, j’ai bien réfléchi à la question et, disposant de plusieurs adresses mail, il ne m’est pas difficile de savoir quels organismes disposent de quelles informations).

Alors fuites de la part de Pôle emploi ? Piratage de leur système informatique (suite aux différentes “affaires” qui ont mis en question sa fiabilité, on peut se poser très sérieusement la question) ? Ou même revente de données ?
D’après les témoignages des demandeurs d’emploi concernés par ces démarches, il semblerait que ni Pôle emploi, ni les flics ne s’intéressent au problème… Moi ça m’inquiète, ça m’inquiète que des données personnelles me concernant soient utilisées de manière frauduleuse, surtout quand ces données viennent d’une administration comme Pôle emploi.
Alors quoi ?

En dessous le fameux mail.

De : <[email protected]>
Date : 21 mars 2014 14:24
Objet : Proposition d’entretien chez f 2f, Roubaix
À : [email protected]

UTF-8
Convocation: xxx xxx
Bonjour,

Suite à votre réponse à l’annonce, nous vous demandons de bien vouloir vous présenter chez f 2f pour rencontrer Mr Hurand au 35, Avenue Jean Baptiste Lebas,2ème étage (entre gare SNCF et Mairie), 59100 Roubaix.

Nous fixons donc un rendez-vous de principe pour mercredi 26 mars 2014 à 16h15, mais vous avez la possibilité bien évidemment de le fixer avant Vendredi 28 mars , dernier jour d’entretien pour ce poste de chargé de clientèle, en répondant à mon email.

Nous comptons vivement sur votre présence à l’heure prévue avec votre CV imprimé pour cet entretien individuel.

A. AFCHAIN
SH recrutement

Courriel transmis par le logiciel EMA http://www.emamailing.com
EMA est gratuit pour une utilisation non commerciale

Ce courrier électronique ne contient aucun virus ou logiciel malveillant parce que la protection Antivirus avast! est active.

Le profiling commercial, kézako

Courte réponse à une question posée par un collègue développeur à la suite d’une discussion sur le bienfondé de l’utilisation des CDN externes.

Question qui revient régulièrement : le profiling commercial, qu’est-ce que c’est ?

C’est le fait de collecter un grand nombre de données sur les internautes et d’établir sur eux un profil qui servira à leur envoyer de la publicité ciblée. C’est une spécialité de Google, Facebook et compagnie.

Le problème des CDN “gratuits” (et surtout ceux de Google, même si ils s’en défendent) ainsi que des systèmes de stats (et de toute resource venant d’un domaine externe comme les boutons Facebook, Pinterest…) c’est que qu’ils permettent aux boîtes qui contrôlent le serveur externe de savoir que t’es allé sur tel site, que t’as visité tel page, et donc d’enrichir ton profil commercial.

C’est impossible à détecter côté client car même si tu bloques les cookies, il est possible d’utiliser des heuristiques assez performantes pour identifier de manière fiable un internaute. En gros le système de Google détermine qu’une connexion avec la même IP, le même navigateur, les mêmes plugins… correspond à une personne unique et lui génère une empreinte. Ensuite c’est assez simple de savoir que la dite personne (via son empreinte) a visité le site A chargeant sont jQuery via Google Hosted Libraries, le site B qui utilise Google Analytics et le site C qui a un bouton “+1”), on enrichi son profil commercial, et quand il arrive sur le site D qui balance du AdWords, on sait qu’il aime la bière et les frites donc on essaie de lui vendre une place pour un match de Lens.

C’est plus ou moins comme ça que fonctionne Criteo mais aussi et surtout Adwords et les pubs de “pages” Facebook.

Vulnérabilité critique dans MessengerFX

MessengerFX est un client populaire pour Windows Live Messenger (anciennement MSN Messenger) écrit en AJAX. Sa spécificité et de permettre de se connecter au réseau via un simple navigateur web.

En voulant coller du code HTML à Edouard, je me suis rendu compte qu’il était interprété par le navigateur. Faille de type XSS ? Effectivement ! Sauf que celle-ci n’est pas bénigne : en plus de pouvoir faire planter le navigateur de n’importe quel utilisateur du service, elle permet d’accéder à toutes les fonctionnalités implémentées par Messenger FX ce qui signifie entre autre : récupérer la liste de contact de l’utilisateur, envoyer des messages en son nom, supprimer, bloquer et débloquer des personnes de sa liste de contact et lui en ajouter, lire les messages, bref : de prendre le contrôle complet du compte MSN de la victime.

Faille de Cross Site Scripting dans MessengerFX

Pire, il est tout à fait possible d’écrire un vers en utilisant les fonctions d’envoi de message. Ce vers pourrait par exemple supprimer tous les contacts de toutes les personnes connectées à Messenger FX… voir faire tomber le réseau MSN dans son ensemble par une attaque de type DDOS.

J’ai envoyé un email au propriétaire du service qui reste à ce jour sans réponse. En attendant une correction, simple comme un htmlspecialchars(), abstenez-vous d’utiliser Messenger FX et préférez-y Meebo ou le client officiel de Microsoft version web !

Edit du 6 octobre 2008 : la faille semble maintenant corrigée.