Alors oui, bien que les communications d’Harvest se sont toujours bornées à minimiser la portée des fuites, on pourrait tout à fait leur répondre que ça n’est pas à eux d’en décider. Certes, le fait que leurs stratégies, des morceaux de codes, des documents comptables, ou des informations très sensibles sur leurs salariés aient fuité, quelque part, c’est leur problème.

Pourtant Harvest l’a répété le vendredi 11 avril dernier, il n’y aurait rien de sensible dans les données.

« Nous déplorons bien entendu l’action de ces criminels qui publient également les échanges avec les négociateurs spécialisés, menées afin de gagner du temps et avec le visa des autorités. [...] Nous relevons aussi que les données de nos collaborateurs ont été publiées, ainsi que d’autres informations ni sensibles ni personnelles comme quelques contrats et projets de travail. »

Mais ce n’est pas à eux de déterminer la gravité de la fuite pour leurs clients, comme me l’explique le cadre d’un grand groupe, par ailleurs DPO :

« Ce sont les données de nos clients qui sont désormais dans la nature, et la CNIL nous oblige à les en avertir. Peu importe d’où vient le problème, et même si on explique que c’est à cause d’un prestataire, c’est nous que nos clients mettent en cause. »

Un autre DPO, au sein de l’assureur d’un grand groupe bancaire va dans le même sens.

« Ils nous ont dit que les données n'avaient pas été exfiltrées. Ils ont mis du temps à capter qu'au passage ils s'étaient fait compromettre un serveur de fichiers. Et s'ils nous ont transmis le détail des données contenues dedans, j'aimerais être sûr qu'ils l'ont bien fait pour tout le monde... »

Ce n’est malheureusement pas le cas.

C’est par exemple le cas MAIF, dont plusieurs dizaines de milliers de notes de conseillers MSF²³ ont fuité, avec des informations patrimoniales très précises, suivi à chaque fois du prénom et du nom du sociétaire.

Dès la fin du mois de février, MAIF comme BPCE ou Banque Palatine, avait informé un des clients que leurs données avaient fuité, conformément à leurs obligations. La CNIL m’a également confirmé avoir été saisie, non seulement par Harvest, mais également par plusieurs autres sociétés.

Le problème, c’est que plusieurs fichiers comportent des mentions qui dépassent très largement des informations patrimoniales, comme les montrent ces extraits.

Ce type d’informations, trouvées dans les données de plusieurs clients d’Harvest pourrait clairement faire l’objet de sanctions de la CNIL, selon un juriste consulté. D’autant qu’une grosse partie d’entre elles (en tout cas, toutes celles citées au-dessus) sont suivies du nom et du prénom de la personne concernée.

Contacté, MAIF ne s’est pas défilé, confirmant la réalité des informations (issues d’un fichier datant de 2021) et m’a indiqué avoir « mené […] un audit qui a fait apparaître que ces commentaires étaient des cas isolés, liés à une mauvaise application des consignes ». Et de préciser :

« Afin d’éviter que ces pratiques se reproduisent, [MSF] a mis en place, depuis plusieurs années, une série de mesures de sensibilisation et de contrôle renforcé afin de protéger les données personnelles, notamment : »
Des sessions de sensibilisation à la protection des données personnelles, en particulier sur l’usage des zones de commentaires libres, ont été organisées à destination de l’ensemble du personnel de [MSF] en 2022 et en 2024.
Tous les salariés sont formés à ces enjeux dès leur intégration au sein de [MSF], puis tous les deux ans. Une attention particulière est portée à l’usage des zones de commentaires libres et aux bonnes pratiques à respecter  »

Mais le plus étonnant… c’est le début de la réponse de MAIF :

« Ces fichiers […] n'ont jamais été évoqués par Harvest lors du recensement des impacts de la cyberattaque.  »

Oui.
Vous avez bien lu.

Après avoir minimisé l’impact pendant 2 mois, après avoir menacé ceux qui ont révélé la gravité des fuites, Harvest a clairement dit qu’il n’y avait aucune information sensible, sans n’avoir jamais vérifié les données de sa fuite. Et de la même façon qu’Harvest a menti en disant avoir contacté tous les CGP concernés (comme le démontrent les dizaines de professionnels qui m’ont affirmé l’inverse), Harvest n’a même pas été capable d’informer ses clients sur les cas les plus graves.

Alors même que depuis le début des discussions avec les pirates, ils ont la liste de 813’581 fichiers dérobés.