Une clé USB compromet un site du gouvernement britannique

La malédiction britannique continue. Il ne se passe quasiment pas un mois sans que nous ne puissions rendre compte d'une perte de données personnelles massive en Angleterre. La dernière en date concerne 12 millions d'identités britanniques. Elle est le fait d'un analyste d'Atos Origin, SSII en contrat avec le gouvernement britannique pour la gestion d'un site web, celui du British Department for Work and Pensions (Ministère du travail et des retraites). Cette prestation entre dans le cadre d'un contrat d'environ 58 millions d'euros, décroché par Atos en 2006 pour la gestion de ce site et diverses prestations.

Le site du du British Department for Work and Pensions sert à 12 millions de citoyens anglais pour le paiement online de leurs impôts et amendes de stationnement. Hélas, l'analyste d'Atos Origin a malencontreusement perdu une clé USB dans un parking, contenant les mots de passe d'accès au site, et son code source. Le simple fait que ces données se trouvent sur un seul même périphérique est déjà surprenant et en dit long sur les procédures de sécurité interne du prestataire Atos Origin.

Fort heureusement cette clé USB est tombée dans des mains bien intentionnées, puis remise au journal Daily Mail. On apprend alors que cette clé aurait pu être exploitée assez aisément selon nos confrères. Après analyse par le Daily Mail auprès d'un expert, il s'avère qu'elle n'était pas chiffrée, mais simplement protégée par un mot de passe. Dans l'urgence le site web a dû être fermé 24 heures. L'expert consulté par le Daily Mail affirme que les informations contenues dans la clé pouvaient permettre d'accéder à tout le système de paiement online du gouvernement britannique, et dans le pire des cas, d'effectuer des virements de fonds.