Sécurité : les données personnelles de clients SNCF tombent aux mains d’un hacker
Le Canard Enchaîné révèle qu’un hacker a facilement réussi à avoir accès aux données personnelles de certains clients SNCF via le site voyages-sncf.com.
Ca ne va pas très fort cette semaine pour la SNCF. Après l’annonce d’une fausse explosion d’un TGV près de Mâcon qui n’était en fait qu’un « exercice de simulation », voilà qu’une faille de sécurité a été détectée sur le site Web voyages-sncf.com.
Lundi, un hacker a signalé au journal satirique Le Canard Enchaîné être parvenu à avoir accès « à ses propres coordonnées, mais, avec un peu d’astuce, à celle des autres abonnés », en entrant simplement sur le site voyages-sncf.com son numéro de carte fidélité SNCF, rapporte le périodique.
Le pirate informatique a ainsi réussi à visualiser, « en quelques clics », et en changeant juste un des 11 chiffres de son numéro d’abonné SNCF, les noms, adresses, dates de naissance, adresses e-mail et numéros de téléphone des abonnés à des cartes de fidélité SNCF.
Voilà de quoi donner des vapeurs aux internautes qui passent par ce site pour réserver leur billet de train, d’avion, leur séjour ou leur hôtel, et qui s’aperçoivent ainsi que leurs données personnelles ne sont pas aussi bien protégées qu’ils pouvaient l’espérer.
En 2009, voyages-sncf.com comptait 10 millions de visiteurs uniques par mois. Il a réussi l’année passée à vendre quelques 55 millions de billets de train sur le marché français, pour un chiffre d’affaires annuel estimé à 2,4 milliards d’euros (+7% par rapport à 2008).
Avertie, la SNCF a indiqué avoir « ouvert une enquête » et réfléchit à l’idée « d’engager des poursuites », a indiqué un porte-parole de voyages-sncf.com.
Pour rassurer ses clients, le principal site transactionnel de la compagnie ferroviaire a toutefois assuré que « la confidentialité des données bancaires et la sécurité des transactions sont parfaitement garanties ».
Cette importante faille de sécurité aurait été comblée par les informaticiens du site Web depuis le mardi 16 mars au matin.
Toutefois, ce n’est pas la première fois que voyages-sncf.com est victime d’une telle vulnérabilité. Déjà en 2008, souligne Le Canard Enchaîné, la direction de l’audit et des risques de la SNCF avait pointé du doigt quelques lacunes du site Web, actuellement en refonte complète.