Une revendication postée sur un forum cybercriminel affirme détenir des centaines de milliers de données liées à des dirigeants associatifs français. L’audit mené par HelloAsso et des experts en cybersécurité externes n’a trouvé aucune trace d’intrusion, ni sur la plateforme, ni sur le site visé par la revendication. Explications.
Que raconte exactement la revendication ?
Le 9 juillet, un message posté sur un forum fréquenté par des cybercriminels annonce la mise en vente d’une base de données de plusieurs centaines de milliers de lignes. Selon son auteur, ces informations, qui incluraient identités, numéros de téléphone et IBAN de responsables associatifs, proviendraient du site Association.fr.
Association.fr, un domaine HelloAsso, mais pas la plateforme
Association.fr appartient bien à HelloAsso. Le site se limite pourtant à une page d’information sur la vie associative, sans base de données, sans formulaire de collecte, sans compte utilisateur. Une infrastructure entièrement distincte de celle qui fait tourner la plateforme transactionnelle HelloAsso.com.
« Non, HelloAsso n’a jamais subi de fuite de données », remontée par nos confréres de Culturap.
Ce qu’a trouvé l’audit
Dès la parution des premiers articles relayant l’information, les équipes techniques de HelloAsso ont ouvert une enquête, épaulées par des experts en cybersécurité externes. Les vérifications ont couvert deux périmètres bien distincts : Association.fr et l’infrastructure principale de HelloAsso.
Résultat, après plusieurs heures d’analyse : aucune faille exploitable identifiée, sur aucun des deux côtés. Les deux sites à l’origine de la publication initiale ont depuis été informés de ces conclusions.
Faut-il s’inquiéter si vous êtes une association cliente ?
Non, en l’état actuel des vérifications. HelloAsso rappelle disposer d’un agrément délivré par l’Autorité de contrôle prudentiel et de résolution (ACPR) et d’un dispositif de sécurité aligné sur la norme ISO 27001, applicable aux 450 000 structures qui utilisent la plateforme au quotidien. Aucune preuve technique ne vient à ce jour étayer la revendication du 9 juillet, et le service continue de fonctionner normalement.
