Une faille de sécurité découverte sur le portail clients de CarPostal

La filiale de La Poste a indiqué avoir été avertie par la radio-télévision alémanique "qu'une entreprise de sécurité informatique externe avait attiré l'attention de la SRF sur ce cas".

Conséquence de cette faille de sécurité, des données ont atterri sans protection dans une mémoire intermédiaire et n'ont pas été effacées automatiquement comme prévu. Carpostal "regrette vivement" ce problème, assurant que la protection des données est "une priorité absolue".

Depuis mai

Ticketcontrol.ch est un guichet en ligne sur lequel les clients de Carpostal peuvent, après un contrôle, poser des questions au service d'encaissement de l'entreprise, demander une prolongation de délai ou présenter ultérieurement un billet qu'ils n'avaient pas sur eux lors du contrôle. La faille de sécurité concernait le formulaire de contact sur le site internet.

CarPostal estime que 1776 données n'ont pas été protégées entre mai 2021 et janvier de cette année. L'entreprise cherche à déterminer si des données ont été obtenues de manière frauduleuse.

Les premières analyses montrent qu'il y a eu 745 accès à ces données. Il s'agit d'accès automatisés, principalement de deux entreprises de sécurité informatiques, précise CarPostal.

Selon elle, l'erreur a été corrigée immédiatement après l'annonce de la SRF. "Nous regrettons énormément cet incident et allons en tirer les leçons pour éviter qu'une telle erreur se reproduise", souligne CarPostal.

Inquiétude

Selon le rapport des responsables de la protection des données de CarPostal, l'incident est dû d'une part à un manque de précautions techniques et d'autre part à une gestion insuffisante des données.

Le préposé fédéral à la protection des données et à la transparence Adrian Lobsiger a jugé le cas "sérieux". Le registre des resquilleurs n'était certes pas directement accessible, mais les données personnelles relatives aux mauvais payeurs nécessitent une protection accrue, a-t-il estimé.

"Le fait que l'accès à ces données ait été possible sans compétences spécifiques élevées montre que les données concernées n'étaient pas protégées dans la mesure exigée par la loi sur la protection des données", a-t-il ajouté.

ats/jfe