Uber a été condamné en France à une amende de l’ordre de 400 000 euros. La raison ? Atteinte à la sécurité des données des utilisateurs. C’est en référence au piratage qu’a connu le service de VTC l’année dernière. L’amende a été infligée par la Commission nationale de l’informatique et des libertés (CNIL).
En novembre 2017, Uber a révélé que des individus ont été en mesure de récupérer les données de 57 millions de personnes, aussi bien des clients que des chauffeurs. À la suite de cette révélation, le G29 (Groupe des CNIL européennes) a créé un groupe de travail dans le but de coordonner les procédures d’investigation de différentes autorités de protection des données.
L’enquête a mis en lumière les différentes étapes de l’attaque. Les hackers ont tout d’abord réussi à accéder à des identifiants stockés en clair sur la plateforme collaborative de développement GitHub. Ils ont ensuite utilisé ces identifiants pour accéder à distance à un serveur sur lequel sont stockées les données. Ils y ont téléchargé des informations relatives à 57 millions d’utilisateurs, dont 1,4 million situés sur le territoire français. La CNIL estime que cette attaque aurait pu être évité si Uber avait pris des précautions : authentification à deux étapes, pas stocker les données en clair et mettre un filtrage des adresses IP.
L’amende est donc de 400 000 euros. La CNIL souligne que le RGPD n’est pas applicable dans cette affaire parce qu’il n’existait pas au moment du piratage.
