Lorsque l’on saisit par erreur les adresses email des destinataires dans le champ “À” au lieu du champ “Cci”, les conséquences sont en général dramatiques. Une telle erreur de messagerie, assez classique, est d’ailleurs particulièrement dommageable lorsqu’elle est commise par l’Independent Inquiry into Child Sexual Abuse (IICSA) britannique, qui a envoyé un email de masse, identifiant les victimes potentielles d’abus sexuels sur enfants.
L’Information Commissioner’s Office (ICO) a déclaré mercredi qu’il avait été condamné l’IICSA à une amende de 200 000 livres sterling (environ 224 000 €) pour cette erreur de messagerie.
L’IICSA couvre l’Angleterre et le Pays de Galles. Elle a été créé en 2014 pour étudier dans quelle mesure les institutions d’une manière générale, et plus particulièrement selon la BBC, les autorités locales, les organisations religieuses, les forces armées et les institutions publiques et privées, échouaient dans leurs efforts pour protéger les enfants contre les abus sexuels.
L’incapacité de l’IICSA à sécuriser les données personnelles confidentielles et sensibles constitue une violation de la loi sur la protection des données de 1998, a déclaré l’ICO.
Selon l’ICO, le 27 février 2017, un membre du personnel de l’IISA a envoyé un email en copie cachée (Cci) à 90 participants à l’Enquête pour les informer d’une audience publique. Après que quelqu’un ait repéré une erreur de messagerie, un message correctif a été envoyé.
Mais lors de ce deuxième envoi, les emails ont été saisies par erreur dans le champ “À”, au lieu du champ “Cci”. Cette erreur a permis aux destinataires de voir les adresses email des uns et des autres et ainsi de les identifier comme des victimes possibles d’abus sexuels sur enfants.
Les noms complets des participants étaient inclus, ou faisaient partie d’une signature électronique jointe, dans 52 des adresses email.
L’un des destinataires a alerté l’IICSA au sujet de cette violation. Il ou elle a entré deux autres adresses email dans le champ “À”, puis a cliqué sur “Répondre à tous”.
L’effet boule de neige a commencé à ce moment-là. Tout d’abord, l’IICSA a envoyé trois emails, demandant aux destinataires de supprimer l’email d’origine et de ne pas le diffuser davantage. Un de ces emails a généré 39 emails de type “Répondre à tous”.
Un destinataire a déclaré à l’ICO qu’il avait été “très perturbé” par cette fuite de données. Au total, l’enquête et l’ICO ont reçu 22 plaintes.
Le directeur des enquêtes de l’ICO Steve Eckersley a déclaré :
Cet incident a mis en danger des personnes vulnérables, ce qui est préoccupant. L’IICSA aurait dû et aurait pu faire plus pour s’assurer que ce type d’erreur ne se produise pas.
Les adresses email des gens peuvent être recherchées via les réseaux sociaux et les moteurs de recherche, de sorte que le risque d’être identifié était véritablement non négligeable.
Cette erreur de messagerie aurait pu être évitée avec plus de formation du personnel, un compte de messagerie différent, et beaucoup plus de méfiance vis-à-vis de la société informatique embauchée pour gérer la liste de diffusion, a déclaré l’ICO. Plus précisément, ses conclusions sont les suivantes :
- L’Enquête n’a pas réussi à utiliser un compte de messagerie pouvant envoyer un message électronique distinct à chaque participant.
- L’Enquête n’a pas permis de fournir au personnel des conseils adéquats ou une formation appropriée sur l’importance d’une double vérification de la saisie correcte des adresses email des participants dans le champ “Cci”.
- L’Enquête a demandé à une entreprise d’informatique de gérer la liste de diffusion et s’est fiée aux conseils de cette dernière pour empêcher les personnes de répondre à la liste complète.
- En juillet 2017, un destinataire a cliqué sur “Répondre à tous” en réponse à un email provenant de l’Enquête, via la liste de diffusion, et a révélé son adresse email à l’ensemble de la liste.
- L’Enquête a enfreint leur propre politique de confidentialité en partageant les adresses email des participants avec l’entreprise informatique sans leur consentement.
Quoi faire ?
Il n’est pas facile de trouver de bons conseils pour les personnes qui commettent des erreurs au niveau des champs “À” et “Cci”. Le fait qu’une telle erreur arrive si souvent (si vous ne l’avez pas fait vous-même, je parie que vous connaissez quelqu’un qui l’a faite) laisse penser qu’il existe soit un défaut de conception basique au niveau des emails, ou que les clients de messagerie normaux pourraient être le mauvais outil à utiliser pour ce type de tâche.
Si vous envoyez des emails sensibles, vous souhaitez sans doute masquer les champs “À” et “CC” de votre client de messagerie afin que vous ne puissiez pas saisir des adresses email qui puissent par la suite être partagées. Alternativement, vous pouvez utiliser une plateforme de mailing marketing qui envoie une copie individuelle de votre message à chaque individu présent dans une liste de diffusion.
Billet inspiré de Basic email blunder exposed possible victims of child sexual abuse, sur Sophos nakedsecurity.