Édition

Ceci est une édition permanente. Elle reprend le briefing tel que publié à cette date et ne change pas.

La Fédération française de tir subit une violation de données touchant près de 587 000 adhérents

L'instance nationale régissant le tir sportif en France a confirmé une nouvelle cyberattaque visant ses fichiers d'adhérents, la seconde compromission majeure de l'organisation au cours d'une même année.

Selon des informations de presse, l'archive comprendrait aussi 64 000 photographies d'identité et près de 19 000 fichiers confidentiels englobant des certificats médicaux.

Les DPD doivent auditer les configurations d'accès sur l'ensemble des portails d'adhérents et panneaux d'administration afin de garantir l'application universelle de l'authentification multifacteur. Les organismes détenant des justificatifs d'aptitude médicale ou des pièces d'identité doivent réviser leurs calendriers de conservation et isoler les pièces jointes sensibles derrière des barrières de droits supplémentaires pour empêcher l'exfiltration intégrale des répertoires.

Le fichier compterait environ 250 000 membres actifs et 350 000 anciens membres.

Qui cela engage
Associations sportives françaises et organismes gestionnaires traitant des pièces d'identité et des justificatifs médicaux
Ce qui a changé
L'attaquant a mis en vente sur un forum clandestin les fichiers de 586 854 licenciés et de 1 659 clubs affiliés.

À transmettre à votre équipe

L'attaquant est entré par un compte d'accès dépourvu d'authentification multifacteur.

La question du jour

Une fédération sportive constate une intrusion ayant permis la fuite de milliers de dossiers d'adhérents comprenant des certificats médicaux, causée par l'absence d'authentification multifacteur sur un compte d'accès. Quelle mesure organisationnelle et technique prioritaire découle des constats liés à cet incident pour limiter l'exposition de telles informations ?

  1. Séparer les archives des membres inactifs des environnements de production et imposer l'authentification multifacteur sur les accès.
  2. Supprimer systématiquement toute pièce d'identité des serveurs dès la validation initiale de l'adhésion d'un membre à la fédération.
  3. Déléguer la conservation intégrale des dossiers administratifs et des certificats de santé directement aux clubs locaux affiliés.
  4. Restreindre le traitement des données des adhérents aux seuls profils actifs en interdisant toute conservation de données de santé.

Répondre à cette question sur le site

À savoir également

  1. L'AP autorise une liste noire partagée dans le secteur de l'hôtellerie restauration à Sittard Geleen

    En application de l'Article 10 RGPD, les consortiums néerlandais de l'hôtellerie et du commerce ne peuvent exploiter de listes collectives d'exclusion fondées sur des infractions sans l'accord préalable de l'AP.

Compilé ce matin là à partir de sources officielles, judiciaires et réglementaires. Les sources primaires sont liées sur chaque sujet.