Fuite de données aux CFF : les données des détenteurs de Swisspass étaient accessibles au public

Les CFF ont informé lundi d'un piratage informatique. L'incident s'est produit au début de l'année. Dans un communiqué de presse, ils indiquent que la "fuite de données" a été immédiatement corrigée. Selon les recherches de l'émission "Rundschau" de la Radio Télévision Suisse (RTS), un demi-million de voyageurs de l'ensemble de la communauté Swisspass sont concernés.

Selon ce rapport, un expert en sécurité informatique aurait réussi, grâce à une astuce simple, à télécharger une grande quantité de données personnelles de clients auprès des CFF. "Il n'est même pas nécessaire d'avoir des connaissances particulières. N'importe qui aurait pu le faire", a-t-il raconté à l'émission "Rundschau" de la SRF. "Les données sensibles étaient pratiquement publiques sur le réseau".

Concrètement, l'expert en sécurité informatique a réussi à trouver les noms des voyageurs, leur date de naissance, le nombre de billets achetés ainsi que les lieux de départ et d'arrivée. Théoriquement, il serait ainsi possible d'établir un profil de déplacement de tous les clients concernés, a encore expliqué l'expert.

L'ensemble de la communauté Swisspass est concerné par cette fuite de données et donc pratiquement toutes les entreprises de transports publics ainsi que tous les clients titulaires d'un abonnement demi-tarif ou d'un abonnement général.

Les CFF ont comblé la faille de sécurité

La Swisspass Alliance et les CFF ont reconnu la faille. Il s'agit d'une erreur dans le système de renouvellement des abonnements, écrivent les CFF dans un communiqué de presse. Ils s'excusent auprès de la clientèle des transports publics. Les clients n'ont toutefois subi aucun dommage. Les CFF ont immédiatement informé le préposé fédéral à la protection des données et à la transparence ainsi que les entreprises de transports publics concernées. En outre, une enquête interne a été lancée.

L'expert en sécurité informatique a commis le vol de données pendant les fêtes. Il a ensuite informé les CFF de l'incident en rédigeant un rapport détaillé. "Je ne suis pas un criminel. Je veux sensibiliser à la protection des données", explique-t-il pour justifier le piratage. Il a immédiatement rendu anonymes toutes les données personnelles. Il a en outre souligné qu'aucun client des CFF n'avait subi de préjudice de son fait. "Les Chemins de fer fédéraux ont réagi très rapidement et ont comblé la faille de manière très professionnelle".