Mercredi soir, vers 21h, des milliers de Français étaient dans l’incapacité d’accéder à leurs comptes CAF et Ameli. Les signalements ont atteint leur pic vers 22h30 sur Downdetector, sans jamais retomber. Ce jeudi, la connexion aux deux plateformes est toujours impossible.
Les sites d’Ameli et de la CAF sont en panne. Dans la nuit, la Caisse d’allocations familiales a fermé sa plateforme en ligne pour une « opération de maintenance », en assurant que la sécurité de ses services et des données restait sa priorité. Jeudi matin, l’Assurance maladie confirmait à son tour qu’« une maintenance programmée est effectivement en cours sur le compte ameli web et appli ». Sauf que le timing interpelle.
Le PHP en cause
Mardi 20 octobre au soir, le protocole de programmation PHP annonçait l’arrivée d’un correctif, destiné à corriger deux vulnérabilités critiques. Ce langage informatique, invisible pour l’internaute, tourne côté serveur et fait fonctionner une large partie du web. Avec ces failles d’exécution, un pirate était en mesure de faire exécuter ses propres commandes sur un serveur sans jamais avoir besoin d’un mot de passe. Le scénario cauchemar pour n’importe quel service qui stocke des données personnelles.
À la demande de l’ANSSI, l’agence chargée de la sécurité informatique de l’État, plusieurs sites de préfectures ont basculé en maintenance mercredi. Impots.gouv.fr, Météo-France, la CNIL ou encore Santé publique France ont suspendu leurs sites. Officiellement, la CAF et l’Assurance maladie évoquent une simple maintenance, sans lien avec la faille PHP. Pour le moment, aucun des organismes concerné n’a fait état d’une intrusion.
Une coupure rassurante
Paradoxalement, cette panne est plutôt une bonne nouvelle. Couper un service le temps d’appliquer un correctif permet de limiter les dégâts, et d’anticiper l’intrusion. Mieux vaut un compte Ameli inaccessible pendant 24 heures que des données dans la nature. Reste que le mutisme des organismes concernés passe mal. Le 9 octobre, un pirate revendiquait 1,2 million de dossiers dérobés via VACAF, la plateforme d’aides aux vacances des CAF. La Cnaf a confirmé l’incident, tout en assurant que ni les données bancaires ni les mots de passe des allocataires n’étaient concernés. En juin, l’Assurance maladie démentait une extraction massive de données liée au Dossier médical partagé. Ce ne serait donc pas la première fois que les données des assurés sont en danger.
Bonne nouvelle tout de même : en cas de violation de données, l’organisme doit la notifier à la CNIL sous 72 heures, et prévenir directement les personnes concernées. En cas de fuite avérée, les allocataires seront donc les premiers informés. En attendant, le principal danger pour les assurés ne vient pas des serveurs, mais de leur boîte de réception. Une panne aussi médiatisée est une aubaine pour les escrocs, qui s’en donneront sans doute à cœur joie pour tenter d’arnaquer les internautes les plus crédules. Prudence donc.