Un intrus a eu accès au détail des dons faits au Secours Islamique France

Les donateurs du Secours Islamique France ont reçu un courriel inhabituel. L'ONG humanitaire, installée à Massy (Essonne), y indique avoir détecté un accès non autorisé à une partie de ses données, dont celles de ses donateurs. Les sites spécialisés Fuites Infos, Cyberattaque.org et FrenchBreaches ont relayé ce message les 6 et 7 novembre.

Selon ces sites, les données concernées sont le nom, le prénom, l'adresse postale, l'e-mail, le téléphone et le code donateur, ainsi que le détail des dons : date, montant, affectation choisie et référence de transaction. Les coordonnées bancaires utilisées pour les paiements en ligne ne seraient pas touchées, l'association expliquant qu'elles sont traitées par la plateforme de paiement de sa banque et ne sont pas conservées dans sa base.

Pourquoi l'affectation d'un don n'est pas anodine

Le formulaire de don du site sif.org propose notamment de verser sa zakât, l'aumône religieuse de l'islam. Pour les donateurs qui ont choisi cette affectation, le champ exposé peut révéler une pratique religieuse, comme le relève Fuites Infos. Or le RGPD range les données qui révèlent les convictions religieuses parmi les catégories particulières, protégées plus strictement, au même titre que les opinions politiques exposées lors de la fuite du fichier d'adhérents du Parti communiste.

Ce que l'association n'a pas dit

Le nombre de donateurs touchés, la date et la durée de l'intrusion ne sont pas communiqués. On ignore si les données ont été seulement consultées ou copiées. L'association assure que le problème a été rapidement résolu et qu'elle a renforcé sa sécurité. FrenchBreaches affirme qu'elle a prévenu la CNIL et porté plainte, ce que les autres sources ne mentionnent pas. Le 7 novembre au matin, la page d'information des donateurs de sif.org ne parlait pas de l'incident.

Les bons réflexes

• se méfier des appels aux dons, demandes de régularisation ou confirmations de paiement inattendus, qui peuvent citer votre code donateur ou vos montants ;
• vérifier l'expéditeur : les adresses légitimes se terminent notamment par sif.org ou secours-islamique.org ;
• en cas de doute, appeler le service donateurs au 01 60 14 14 14 ou taper soi-même l'adresse sif.org ;
• ne jamais donner de coordonnées bancaires par téléphone ; de l'aide est disponible sur cybermalveillance.gouv.fr.

Reste à savoir combien de personnes sont concernées. L'association ne l'a pas encore dit.