Harvest n’est évidemment pas coupable de son propre piratage, et on peut comprendre l’idée de Sonia Fendler quand elle explique, en sous-texte, que n’importe qui peut être piraté.
Certes.
Mais la légèreté des mots et l’inconsistance de la communication semble problématique et très amateur face aux conséquences pour leurs clients. Voire même leurs salariés, dont les passeports, fiches de paie, notes des enfants ou déclarations d’impôts se retrouvent dans la nature.
Si j’ai commencé cette newsletter par une longue introduction sur Harvest, c’est parce que cette histoire n’est sans doute pas étrangère au problème. C’est un groupe ancien, qui a grossi rapidement, en rachetant d’autres entreprises, probablement avec des SI peu compatibles, et pour qui la sécurité, sans être parfaitement ignorée ou secondaire, ne semble pas avoir été une priorité absolue.
Et pourtant, qu’est-ce que la finance, à part de la confiance ? Si les gens mettent massivement dans les comptes courants ou les livrets, c’est parce qu’ils croient au système. S’ils préfèrent les fonds en euros, ou les produits très chargés, c’est parce qu’ils ont confiance dans les intermédiaires, les banquiers, les gérants etc.
Cette confiance, Harvest vient de la briser très violement. Evidemment en subissant un piratage d’ampleur, qui pourrait encore s’aggraver, puisque les pirates pourraient encore avoir des données non vendues ou non dévoilées. Mais surtout en ayant une communication désastreuse et opaque envers leurs clients.
L’entreprise ne risque probablement pas d’être en difficultés financières à très court terme, compte tenu de son niveau d’EBITDA. Mais la question de l’avenir se pose.
Comment imaginer que des CGP vont continuer à faire confiance à Harvest après ça, même si les alternatives ne sont pas nombreuses, alors qu’une des rares réponses a été de proposer une gratuité… quand le produit n’était pas disponible. Surtout une fois que tous auront du informer leurs propres clients, conformément aux règles de la CNIL.
Comment imaginer que les institutionnels, gérants et autres gros assureurs, notamment ceux dont les noms sont sortis dans la presse, continuent à court terme leur collaboration ? Non pas qu’Harvest soit une mauvaise entreprise, ou fournisse de mauvais services. Mais par peur de l’association.
D’autant que, en plus des chambres de CGP qui ont annoncé réfléchir à des actions en justice, 3 gros assureurs m’ont confirmé en off avoir mandaté des avocats pour mesurer leur préjudice afin d’attaquer Harvest.
La probabilité que l’entreprise s’effondre à moyen terme reste peu probable. D’autant que certaines solutions, comme Quantalys, sont assez éloignées de tout ça, et peu risquées. Mais clairement, les conséquences vont être extrêmement violentes, tant sur la perte de clients, que sur les provisions que va devoir faire Harvest sur les procès à venir (quand bien même cela ne présage évidemment pas d’une quelconque culpabilité ou responsabilité) et les enquêtes des différents régulateurs.
Parmi ces régulateurs, il y a évidemment l’ACPR, puisque dans le cadre de DSP224, Harvest est gréé en tant que PSIC25 pour agréger les mouvements des épargnants. Ces mêmes mouvements qu’on retrouve en pagaille, parfois parfaitement identifiables (identité, produit, montant, date) dans les fichiers de la fuite.
Alors même que 3 ans après son adoption, DORA26 est entrée en vigueur le 17 janvier dernier, imposant un cadre réglementaire complet sur la gestion des risques TIC pour le secteur financier. Si rien ne démontre à ce stade que Harvest ne s’était pas conformé à DORA, et si, qui plus est, plusieurs procédures de sécurité et d’urgence étaient effectivement en place, cette fuite est un grave échec.
Elle met également en avant la limite de certaines grosses organisations. Parce qu’il n’est pas question ici d’expliquer que les différentes entités nommées s’en foutent, et n’en ont jamais rien fait pour protéger les données. C’est faux. Mais ce que montrent ici les faillites, c’est que ce qui est décidé en haut lieu, dans le cadre d’un comex ou d’une opération de M&A, qui finit dans un PowerPoint envoyé à des managers qui eux même vont l’expliquer à des opérationnels, ça ne marche pas. Ou pas toujours. Ou pas bien.
Tous ceux qui ont travaillé dans la finance ou l’assurance le savent… mais les autres aussi, évidemment. Qui n’a jamais eu un fichier confidentiel qui a trainé sur son ordinateur de travail, alors qu’il aurait du être détruit ? Ou fait des extracts complets de données qui auraient du être partiels ? Ou ramener, puis stocker, des fichiers pros sur son ordinateur personnel ? Et je ne m’en dédouane pas moi-même.
A l’inverse, sociétés qui imposent des gestions ultra strictes des données professionnelles, bloquant nombre d’accès ou de site, énervent les employés qui ne peuvent plus regarder leur mail, consulter leur réservation de vacances, ou télécharger le logiciel non maison, dont ils ont besoin. Et ça agace.
Reste que tout ça n’est pas nouveau.
Et que, finalement, une entreprise fait bien ce qu’elle veut avec ses propres données. Qu’elle est la seule responsable et impactée si ses brevets, son code, ses applications ou ses chiffres sortent.
Mais ce n’est pas le cas quand on a la responsabilité de données de tiers.
Alors non, l’affaire Harvest ce n’est pas juste un ransomware.
L’affaire Harvest, ce n’est pas juste une fuite.
C’est avant tout faillite d’un système.
Compte tenu de la mise en demeure envoyée par ses avocats suite aux premières révélations, Harvest n’a pas été interrogé, mais bénéficiera d’un droit de réponse légal le cas échéant.
Contactée, l’ACRP n’a pas répondu.
La CNIL a confirmé avoir « enregistré une notification de violation de données de cette société » mais ne peux communiquer aucun élément supplémentaire, « s’agissant d’un dossier en cours d’instruction ».