Violation de données des passagers de Cathay Pacific

Le 24 octobre 2018, Cathay Pacific Airways, la compagnie aérienne nationale de Hong Kong, a révélé que des attaquants avaient accédé aux données personnelles de 9,4 millions de passagers dans le monde. L'enquête a ultérieurement révélé que l'intrusion avait persisté sans être détectée pendant plus de trois ans et demi, d'octobre 2014 à mai 2018 — l'un des temps de présence les plus longs jamais enregistrés dans une violation majeure de compagnie aérienne.

Ce qui s'est passé

Les attaquants ont obtenu l'accès aux systèmes informatiques de Cathay Pacific dès octobre 2014. La compagnie ne s'est aperçue qu'un problème existait qu'en mars 2018, après avoir détecté une activité suspecte à la suite d'une attaque par force brute sur les mots de passe. À ce moment-là, les intrus avaient eu des années d'accès aux dossiers des passagers.

Lorsque l'Information Commissioner's Office (ICO) britannique a enquêté par la suite, il a constaté ce que les observateurs ont qualifié de « catalogue d'erreurs ». Les manquements comprenaient :

• Des sauvegardes de bases de données non protégées par mot de passe
• Des serveurs exposés à Internet laissés sans correctifs contre des vulnérabilités connues
• Des systèmes d'exploitation qui n'étaient plus pris en charge par leurs développeurs
• Une protection antivirus inadéquate

Ces défaillances élémentaires ont donné aux attaquants un accès facile et persistant à des données sensibles.

Impact

• 9,4 millions de passagers dans le monde ont vu leurs données exposées, dont 233 234 dans l'EEE et 111 578 au Royaume-Uni.
• Les champs compromis comprenaient les noms, nationalités, dates de naissance, numéros de téléphone, adresses e-mail et postales, numéros de passeport et de pièce d'identité, numéros de grand voyageur, remarques du service client et historique des voyages.
• L'ICO a infligé son amende maximale de 500 000 £ au titre du Data Protection Act 1998, antérieur au RGPD.

Un cas frôlé de justesse avec le RGPD

Le calendrier fut déterminant. Parce que la violation était antérieure à l'entrée en vigueur du RGPD le 25 mai 2018, l'ICO était plafonné à 500 000 £. Si la violation s'était poursuivie quelques semaines de plus sous le RGPD, Cathay Pacific aurait pu encourir une sanction allant jusqu'à 4 % de son chiffre d'affaires annuel mondial — soit environ 470 millions de livres. L'affaire est devenue une illustration de manuel de la façon dont les enjeux réglementaires avaient radicalement changé.

Pourquoi c'est important

Cathay Pacific demeure une leçon emblématique du coût de la négligence des fondamentaux de sécurité : des serveurs non corrigés, des sauvegardes non protégées et des logiciels en fin de vie ont permis une compromission pluriannuelle de l'une des compagnies aériennes les plus en vue d'Asie. L'affaire a également cristallisé le point d'inflexion du RGPD pour les conseils d'administration du monde entier — le même incident survenu quelques semaines plus tard aurait entraîné une amende près de mille fois plus élevée, faisant de cette violation un récit édifiant repris dans chaque exposé sur la protection des données depuis lors.