Cyberattaque contre « ARIANE » : une expérience qui doit nous servir

Rapports d'information

Rapport d'information n° 299 (2018-2019), déposé le 6 février 2019

LISTE DES PERSONNES AUDITIONNÉES

Auditions au Sénat

19 décembre 2019

M. Guillaume Poupard , directeur général de l'agence nationale de sécurité des systèmes d'information

M. Philippe Lefort , directeur des systèmes d'information et le Général Hubert Bonneau , directeur de la sécurité diplomatique

23 janvier 2019

M. Guyonneau , directeur technique et le Commissaire Olivier Berbach , chef de division, Direction générale de la sécurité intérieure

M. Jean Lessi , Secrétaire général de la CNIL et Mme Tiphaine Havel , Conseillère pour les questions institutionnelles et parlementaires

5 février 2019

M. Christophe Perruaux , procureur-adjoint, et Mme Alice Cherif , chef de la section F1 du parquet de Paris

13 mars 2019

Réunion de retour d'expérience au ministère de l'Europe et des affaires étrangères

M. Philippe Lefort , directeur des systèmes d'information et M. Domenico Ditaranto , directeur adjoint, M. Olivier Gauvin , directeur adjoint de la communication et de la presse, M. Yann Belot , responsable de la communication digitale, Mme Marion Flavier , Cellule de crise et de soutien, M. Rémy Prudhomme , conseiller parlementaire du ministre

ANNEXES

(1) Chronologie

5 décembre 2018 : détection de la cyberattaque

À partir du 5 décembre : mise en oeuvre des solutions de remédiation avec le concours de l'ANSSI

7 décembre 2018 : déclaration de la compromission de données personnelles à la CNIL

Entre le 7 et le 12 décembre : dialogue entre le MEAE et la CNIL sur la communication à mettre en oeuvre

13 décembre 2018 : communication en direction des titulaires des adresses électroniques compromises, communiqué à la presse, information en ligne sur le site du MEAE, rédaction d'une plainte à adresser au Parquet du Tribunal de Paris

14 décembre 2018 : décision de la commission des affaires étrangères, de la défense et des forces armées du Sénat de recueillir des éléments d'information sur cette cyberattaque

19 décembre 2018 : premières auditions des rapporteurs

4 janvier 2019 : enregistrement de la plainte au Tribunal de Paris

7 janvier 2019 : arrivée de la plainte au bureau du Procureur

10 janvier 2019 : saisine de la DGSI

15 janvier 2019 : arrivée de la plainte à la section spécialisée du parquet et transmission du courrier de saisine officielle à la DGSI

6 février 2020 : communication des rapporteurs à la commission des affaires étrangères, de la défense et des forces armées du Sénat

13 mars 2020 : réunion de retour d'expérience avec l'administration du ministère de l'Europe et des affaires étrangères

(2) Notice de présentation de l'application Ariane

(3) Courriel adressé le 13 décembre aux personnes concernées

Début du message réexpédié :

De: mesdonnees.ariane@diplomatie.gouv.fr

Objet: Ministère de l'Europe et des Affaires Etrangères - Message aux usagers

Date: 13 décembre 2018 à 08:23:44 UTC+1

À: " fil-d-ariane.information@liste.diplomatie.gouv.fr " < fil-d-ariane.information@liste.diplomatie.gouv.fr >

Répondre à: mesdonnees.ariane@diplomatie.gouv.fr

Madame, Monsieur,

A la suite d'un piratage informatique, certaines de vos données personnelles confiées au Ministère de l'Europe et des Affaires étrangères ont été dérobées. Il s'agit :

- de votre nom et de votre prénom ;

- de votre numéro de téléphone mobile ;

- de votre adresse courriel.

Ces informations ont été renseignées par un proche ou un collègue lorsqu'il s'est inscrit sur le service Ariane. Il vous a déclaré « personne à prévenir » en cas de difficultés lors d'un voyage ou d'une mission à l'étranger.

On ne peut exclure que ces données puissent être utilisées par des tiers à des fins publicitaires (par courriels ou sms), d'hameçonnage (« phishing ») ou de tentatives d'escroquerie. Nous vous invitons à vous montrer vigilant à l'égard des messages de source douteuse, cherchant à usurper l'identité du Ministère de l'Europe et des Affaires étrangères ou d'un proche en déplacement ou en mission à l'étranger et qui vous inviteraient à préciser des informations personnelles ou des données d'identification, à ouvrir une pièce jointe ou encore à cliquer sur un lien vers un site internet.

Des conseils plus précis sur la protection sur internet sont disponibles sur les sites de la Commission Nationale sur l'Informatique et les Libertés ( https://www.cnil.fr ) et de l'Agence Nationale pour la Sécurité des Systèmes d'Information ( https://www.ssi.gouv.fr ).

Nous avons engagé tous les efforts nécessaires pour éviter que cet incident ne puisse se reproduire. Le Ministère de l'Europe et des Affaires étrangères a informé la CNIL et a saisi la justice.

Si vous avez des questions concernant cet incident, vous pouvez également nous contacter à mesdonnees.ariane@diplomatie.gouv.fr

Le Ministère de l'Europe et des Affaires étrangères connait l'importance de vos informations personnelles. Nous prenons la protection de vos données très au sérieux et nous regrettons de devoir vous écrire dans ces circonstances.