Secours Islamique France : données de donateurs exposées, dont le montant et l'affectation des dons

Le Secours Islamique France (SIF), association humanitaire fondée en 1991 et établie à Massy, a informé ses donateurs par courriel d’un accès non autorisé à une partie de ses données. Trois médias, Cyberattaque.org (7 novembre), FrenchBreaches et Fuites Infos (6 novembre), décrivent ce courriel sans en reproduire le texte ni en publier de capture ; ils s’accordent sur la reconnaissance de l’incident, sur la liste des données et sur l’absence de coordonnées bancaires. Selon Cyberattaque.org, l’association dit avoir fait un audit supplémentaire de son environnement informatique, renforcé sa sécurité et rapidement résolu le problème ; FrenchBreaches ajoute qu’elle a déclaré l’incident à la CNIL et déposé plainte, ce que les deux autres médias ne mentionnent pas (Fuites Infos relève que la saisine de la CNIL n’est pas précisée). Le site de l’association ne comporte pas de communiqué sur le sujet : le statut « confirmée » repose sur ces trois comptes rendus concordants du courriel et sur l’entrée de Bonjour la fuite, et serait à rétrograder si l’association contestait ce courriel.

Les données exposées comprennent, selon ces sources, le code donateur, le nom et le prénom, l’adresse postale, l’adresse e-mail, le numéro de téléphone, la date et le montant des dons, leur affectation et les références des transactions. L’association affirme qu’aucune coordonnée bancaire n’a été compromise, les informations de paiement en ligne étant traitées directement par sa plateforme de paiement sécurisée, sans passer par sa base. Ni le nombre de donateurs concernés, ni la date de l’accès, ni la méthode ne sont communiqués, et Cyberattaque.org relève que la notification ne permet pas de savoir si les informations ont été consultées ou extraites. Aucune des sources consultées ne fait état d’une revendication, d’une mise en vente ou d’une publication des données.

La combinaison d’un nom, d’une adresse et de l’historique des dons à une association confessionnelle, avec l’affectation de ces dons (causes ou opérations humanitaires soutenues), peut permettre d’inférer des convictions religieuses ou une proximité avec certaines causes, ce qui relèverait des données de l’article 9 du RGPD ; Fuites Infos souligne qu’une affectation à la zakât, aumône religieuse, peut révéler une pratique religieuse. Les donateurs agissent pour des raisons très diverses, et l’inférence reste une probabilité. La gravité est retenue à « élevée » plutôt qu’à « critique » faute de donnée de santé, bancaire ou d’identité officielle, de preuve d’extraction et de diffusion, et de nombre de personnes concernées ; elle serait à relever si une mise en circulation ou un volume important était établi.

L’association met en garde contre les escroqueries par courriel, SMS ou téléphone, comme de faux appels aux dons ou de fausses demandes de confirmation de paiement, et indique, selon FrenchBreaches, ses domaines officiels (sif.org, secours-islamique.org et email.secours-islamique.com) ; le numéro 01 60 14 14 14, qui figure sur son site comme ligne des donateurs, permet de vérifier un message suspect. Un message qui rappelle le montant d’un don ou la cause soutenue est précisément le leurre à craindre : il vaut mieux ne pas cliquer sur ses liens, ne jamais communiquer de données bancaires en réponse et se rendre soi-même sur le site de l’association. Les SMS suspects se transfèrent au 33700, les courriels à Signal Spam, et cybermalveillance.gouv.fr assiste en cas de fraude avérée ; un donateur en situation sensible peut aussi demander à l’association l’étendue des données le concernant.