Fuite de données chez Natixis

Un de nos lecteurs nous a informé aujourd'hui d'une potentielle fuite de données à caractère personnel concernant les clients de Natixis. Les documents en question sont disponibles en consultation directe sur Google.

La banque de services financiers et gestion semble avoir été victime d’une fuite de données, suite à l’indexation de certains courriers comportant les noms, adresses et relevés de comptes de clients par le moteur de recherche de Google.

Les documents concernés sont divers : déclarations  de sinistre, courriers de résiliation d’assurance, attestations d’assurance “responsabilité civile vie privée”... Ces extraits de dossiers clients ont été postés en ligne depuis janvier 2020 avec mention des données personnelles de ces personnes. On y trouve  également des documents sensibles tels que des relevés de compte d’indemnisation. La liste des documents et données est assez longue et hétéroclite : cartes internationales d’assurance automobile, procès-verbaux de sinistre, accusés de réception de courriers, constats de dégâts, attestations d’auto-école et IBAN ont aussi été rendus publics par Natixis et la Caisse d’Epargne (faisant partie du même groupe). La disponibilité des documents s’étale sur trois pages Google. Les victimes ont vu leurs adresses, relevés de comptes, numéros de téléphone et signatures électroniques être divulgués au grand public. 

La cause de cette fuite serait-elle une erreur de l’équipe technique de Natixis?

Il a probablement été réalisé une copie des données réelles (de l'environnement de production) sur les  systèmes de test (l'environnement de qualification). Comme l'environnement de qualification est souvent considéré comme un endroit disponible uniquement depuis le réseau interne de la société, il est moins bien protégé que l'environnement de production. Le  problème semble donc être une erreur de configuration - l'environnement interne ayant été exposé à l'extérieur et ce, depuis déjà quelques temps.

Natixis devrait prendre en compte cette situation, sécuriser l'accès et prévenir les clients touchés. En effet, selon les dernières réglementations en vigueur, la société est obligée de prévenir la CNIL et les personnes concernées touchées par la divulgation des données à caractère personnel.

Maud Baheng Daizey

Notre équipe a fait part des détails du problème à Natixis afin que ses services puissent résoudre le problème le plus rapidement possible.