Ils ont volé des milliers de photos d'enfants suisses
Selon les recherches de watson, une cyberattaque contre l'entreprise allemande Portraitbox GmbH pourrait avoir des conséquences potentiellement graves pour la Suisse. Des photographes scolaires helvétiques utilisant les services de la société attaquée pour la vente de leurs photos sont concernés. De fait, des données sensibles sur des écoliers, des parents et des établissements scolaires suisses se trouvent désormais exposées.
L'entreprise piratée exploite une boutique en ligne ainsi qu'une plateforme cloud utilisée par d'innombrables photographes professionnels, notamment dans le domaine des photos d'école enfantine et d'école primaire.
watson a pu consulter un courrier dans lequel un partenaire contractuel suisse de Portraitbox informe des enseignants et des parents des conséquences possibles de l'attaque. Selon une autorité allemande de protection des données, les auteurs menacent de publier des photos d'enfants sur le Darknet.
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a confirmé à watson qu'«un grand nombre de personnes en Suisse sont également touchées».
Que sait-on de la cyberattaque?
Le mode opératoire évoque une opération de rançongiciel (ransomware) menée par des cybercriminels. Il n'existe pour l'heure aucune revendication publique, ce qui laisse supposer que des négociations sur une rançon se poursuivent encore en coulisses.
Les auteurs, jusqu'ici non identifiés, ont pu s'introduire illégalement dans l'infrastructure informatique de Portraitbox (son cloud Amazon Web Services), vraisemblablement via une clé API volée ou compromise d'une autre manière. Il s'agit en quelque sorte d'un badge d'accès numérique.
Les pirates ont ainsi pu télécharger massivement les données clients et les photos à l'insu de tous, avant d'effacer les originaux dans le cloud. Pour ce faire, ils n'avaient pas besoin de pirater les mots de passe individuels des parents ou des photographes, puisque la clé API susmentionnée leur conférait en quelque sorte le passe-partout de l'ensemble de l'infrastructure numérique.
La cyberattaque elle-même remonte déjà à quelques jours. Le portail d'information informatique heise.de en a rendu compte, le 22 mai, en se référant au site allemand anwalt.de, qui avait informé la veille sur l'affaire et ses conséquences juridiques:
Les données de Portraitbox étaient donc hébergées chez Amazon Web Services (AWS), la première plateforme de cloud computing mondiale du géant technologique américain Amazon.
Qui est concerné?
L'ampleur réelle de l'incident reste floue. Les responsables de Portraitbox n'ont pas encore répondu à notre demande de renseignements.
L'incident pourrait toucher une grande partie de la clientèle de l'entreprise, qui provient majoritairement de la région DACH, c'est-à-dire d'Allemagne, d'Autriche et de Suisse. Le PFPDT à Berne a confirmé jeudi:
Dans la mesure où les systèmes de Portraitbox ont été compromis, tous les photographes qui disposaient de galeries en ligne actives chez Portraitbox ou y avaient stocké des données clients le week-end des 16 et 17 mai sont potentiellement concernés.
Selon heise.de, Portraitbox compte «environ 2000 clients dans le secteur de la photographie». Si chacun de ces studios n'avait photographié que 100 personnes distinctes, on compterait déjà 200 000 personnes touchées. Chez les prestataires de photos scolaires, ce chiffre pourrait rapidement être bien plus élevé. Et bon nombre de victimes seraient alors vraisemblablement mineures.
Un partenaire contractuel suisse de Portraitbox a indiqué jeudi à watson:
Quelles conséquences pour les personnes touchées?
watson a pu consulter un courrier de Schuelfoti GmbH, un prestataire suisse de photos scolaires, dans lequel ses responsables informent de la cyberattaque contre leur partenaire contractuel allemand Portraitbox et de ses conséquences du point de vue suisse.
Ce courrier, envoyé par courriel le mercredi 27 mai, est adressé aux enseignants et aux parents. Il y est écrit:
Dans un souci de transparence, nous souhaitons vous informer de l'incident. Cette communication est effectuée à titre préventif. Nous n'avons jusqu'ici aucun indice permettant de constater qu'une utilisation abusive de données ou d'images individuelles aurait eu lieu.»
Et plus loin:
Il ne peut malheureusement pas être entièrement exclu que des données puissent faire l'objet d'une utilisation abusive.»
L'entreprise n'était pas joignable par téléphone jeudi. Une demande de contact écrite de la part des médias a d'abord reçu une réponse automatique: «Nous sommes actuellement submergés de demandes. Nous vous prions de bien vouloir comprendre qu'une réponse de notre part puisse actuellement prendre plus de temps.» Peu après, les responsables se sont manifestés:
Qui est responsable?
Les photographes scolaires suisses utilisent Portraitbox comme plateforme pour proposer aux parents les photos scolaires de leurs enfants à la vente.
Suite au piratage, les données stockées sur les serveurs sont tombées entre les mains de cybercriminels. Il en résulte une situation juridique particulière:
- Portraitbox en tant que sous-traitant: Portraitbox GmbH agit, sur le plan du droit à la protection des données, en qualité de «sous-traitant», dans le sens où elle met à disposition l'infrastructure technique pour le compte des photographes.
- Les photographes suisses en tant que responsables du traitement: les photographes scolaires ou leurs sociétés sont les partenaires contractuels des écoles et des parents. Au sens des lois sur la protection des données, les photographes sont donc considérés comme des responsables du traitement.
- Obligation d'information: pour les photographes indépendants et légalement responsables, c'est à eux qu'incombe l'obligation d'informer. Ils sont tenus de signaler l'incident à l'autorité de protection des données compétente (en Suisse, le PFPDT) et de tenir au courant toutes les personnes concernées.
En ce sens, de nombreux parents ont déjà été informés de l'incident par leurs photographes scolaires au cours des derniers jours.
Les photographes suisses ont été invités à informer leurs clients, confirme le PFPDT à watson. La notification directe des personnes concernées étant actuellement difficile, l'information est diffusée par divers canaux, dont des sites internet et l'envoi de courriels via des groupes tels que les écoles, par exemple.
Par ailleurs, le PFPDT est en contact avec l'autorité de surveillance de la protection des données compétente pour Portraitbox GmbH en Allemagne.
Que sait-on des données volées?
Comme l'a rapporté heise.de, toutes les galeries en ligne que les studios photo et les photographes indépendants avaient créées pour leurs clients sont concernées. Ces galeries servaient, après une séance photo, à sélectionner des tirages et à faciliter les commandes ultérieures.
Comme l'indique le prestataire suisse Schuelfoti, les auteurs auraient vraisemblablement eu accès à de nombreuses données personnelles stockées dans le cloud. En voici la liste:
- Photos d'enfants et de classes,
- noms des clients (parents, proches),
- adresses électroniques,
- adresses de livraison et de facturation,
- historiques de commandes,
- données d'accès (mots de passe) aux galeries en ligne protégées.
Ce qu'il est bon de savoir du point de vue des parents:
Selon l'état actuel des connaissances, les données de paiement (telles que les informations de carte de crédit des parents) ne sont pas directement concernées, car elles sont généralement traitées par des prestataires de services de paiement externes. Les coordonnées bancaires des photographes eux-mêmes pourraient toutefois avoir été compromises.
Une chose est sûre: les personnes concernées doivent changer leurs mots de passe et ne cliquer sur aucun lien dans des courriels suspects. Des adresses électroniques et des noms ayant été dérobés conjointement, le risque d'hameçonnage (phishing) est accru.
Une entreprise spécialisée en forensique informatique examine actuellement l'incident de Portraitbox en Allemagne.