Fuite de données dans 1300 mairies : l’applicatif Synbird et une faille logicielle en cause

Une intrusion majeure dans les systèmes d’un prestataire de services informatiques vient de compromettre les données personnelles de dizaines de milliers d’administrés en France. Au total, près de 1300 communes sont touchées par cette fuite concernant les rendez-vous pris en octobre dernier, comme le relaye RTL.

La faille : mot de passe compromis et vulnérabilité

Le prestataire principalement visé est Synbird, un logiciel utilisé par de nombreuses municipalités pour la gestion des rendez-vous en ligne, notamment pour les démarches d’état-civil (cartes d’identité, passeports). Selon l’entreprise, la fuite proviendrait de la compromission des identifiants d’un poste d’employé municipal. Le prestataire a précisé qu’« un mot de passe malheureusement utilisé sur d’autres plates-formes a été recyclé ».

L’attaquant aurait ensuite exploité une faille du logiciel de prise de rendez-vous pour exporter les données, une vulnérabilité qui a été « réglée » par Synbird depuis l’incident. L’entreprise, basée à Chambéry, a saisi la CNIL et déposé plainte en gendarmerie.

Les données compromises et les risques

Les informations compromises sont celles strictement nécessaires à la réservation : nom, prénom, code postal, adresse mail et numéro de téléphone. Si aucune donnée bancaire ou identifiant de connexion n’a été volé (contrairement aux fuites récentes de France Travail ou Pajemploi), la prudence reste de mise.

L’agrégation de ces données facilite grandement les tentatives d’usurpation d’identité ou les campagnes d’hameçonnage (phishing) ciblées. Les autorités recommandent fortement de se méfier de tout SMS ou courriel qui tenterait d’exploiter ces informations pour pousser à cliquer sur un lien piégé ou pour demander des informations confidentielles.