L'Association des maires de France victime d'une fuite de données via une injection SQL

Après l'Éducation nationale et un hôpital privé de la Loire, c'est au tour d'une institution centrale du monde municipal français de confirmer une fuite de données : l'Association des maires de France (AMF), qui fédère plus de 34 000 communes et intercommunalités, a été la cible d'une cyberattaque dont un pirate revendique la paternité sur un forum spécialisé.

Une injection SQL classique, mais efficace

Selon les éléments recueillis, l'attaquant, qui se présente sous le pseudonyme « Alduin », a exploité une injection SQL de type Union pour accéder directement à la base de données de l'association et en extraire le contenu. Cette technique, l'une des plus anciennes de la panoplie offensive, consiste à glisser des instructions SQL supplémentaires dans un champ de saisie mal filtré côté serveur, de façon à faire remonter des tables entières que l'application n'était pas censée exposer.

Le fait qu'une technique aussi documentée continue de fonctionner sur les systèmes d'organisations de cette taille en dit long sur l'état réel de la sécurisation des applications web utilisées par les institutions publiques et parapubliques françaises, bien au-delà du seul cas de l'AMF.

Des mots de passe en clair parmi les données volées

Les informations dérobées comprennent les noms et prénoms, l'adresse e-mail, la commune ou l'intercommunalité de rattachement, la fonction occupée ainsi que le type d'abonnement des adhérents et ses dates de validité. Point le plus préoccupant : des mots de passe auraient été stockés et donc exfiltrés en clair, sans hachage, ce qui constitue un manquement de sécurité informatique élémentaire si l'information se confirme.

Le pirate évoque environ 114 000 entrées dérobées, un chiffre qu'il faut manier avec prudence puisque l'AMF elle-même précise que plusieurs entrées peuvent correspondre à la même personne, ce qui ne dit rien du nombre réel d'individus distincts affectés. Aucun décompte officiel des personnes physiques concernées n'a pour l'instant été communiqué.

L'AMF confirme et saisit la CNIL

L'association a confirmé la réalité de l'attaque et indique avoir saisi la Commission nationale de l'informatique et des libertés (CNIL), démarche obligatoire pour tout organisme victime d'une violation de données personnelles susceptible d'engendrer un risque pour les personnes concernées. Rien n'indique en revanche, à ce stade, qu'une notification individuelle ait déjà été adressée aux adhérents dont les données ont fuité, ni quel délai l'association se donne pour le faire.

Un été chargé pour les collectivités françaises

Cette attaque s'inscrit dans une série déjà longue d'incidents touchant le secteur public français ces dernières semaines, entre la fuite de 727 000 données d'un hôpital privé de la Loire sanctionnée par la CNIL et la rentrée scolaire perturbée par un piratage à Nantes et Toulouse. Le point commun de ces dossiers reste le même : des bases de données d'organismes gérant des informations sensibles sur des millions de Français, protégées par des mesures qui n'ont pas suivi le niveau de la menace.

Pour les adhérents de l'AMF concernés, le conseil habituel s'applique en attendant une communication plus détaillée : changer sans tarder tout mot de passe réutilisé ailleurs et se méfier des e-mails de phishing qui pourraient exploiter les informations désormais en circulation sur le forum où l'attaque a été revendiquée.

Source

Article basé sur les informations de Clubic.