Infogreffe almacenó 3,7 millones de contraseñas en texto plano durante 19 años — la CNIL le impuso una multa de 250.000 €

Infogreffe es el grupo de interés económico de los secretarios de los tribunales de comercio franceses, que vende registros mercantiles certificados a través de infogreffe.fr desde 2001 (Minitel desde 1987) — una misión de servicio público desempeñada por oficiales jurídicos privados. En diciembre de 2020, un usuario se quejó de que había recuperado su propia contraseña por teléfono sin aportar más que su nombre, y de que el sitio almacenaba las contraseñas en texto plano. La inspección en línea de la CNIL de marzo de 2021 confirmó algo mucho peor que la reclamación.

Dos infracciones. Conservación: la propia carta GDPR de Infogreffe prometía la supresión 36 meses después del último pedido de un usuario; sin embargo, el 1 de mayo de 2021 la base de datos seguía conteniendo nombres, direcciones, números de teléfono, preguntas y respuestas secretas — y, para los suscriptores, IBAN y BIC — de 946.023 miembros y 17.558 suscriptores inactivos durante más de tres años. No existía ningún proceso de anonimización automática; alrededor de una cuarta parte de las cuentas superaba el límite.

Seguridad: bajo una política de contraseñas sin cambios desde 2002, las contraseñas estaban limitadas a 8 caracteres sin reglas de complejidad y sin segundo factor, se enviaban por correo electrónico en texto plano como credenciales permanentes, se almacenaban en texto plano y nunca se informaba a los usuarios cuando su contraseña cambiaba — las 3,7 millones de cuentas estaban expuestas.

Las defensas lo empeoraron. Infogreffe argumentó que la seguridad es solo una obligación de medios y que no había ninguna brecha real que demostrar, desestimó las directrices de la CNIL sobre contraseñas por considerarlas soft law y culpó a su encargado del tratamiento — sin haber supervisado nunca tampoco a ese encargado. El comité calificó los fallos de estructurales: los trabajos de anonimización y seguridad se habían pospuesto por plazos de cumplimiento ajenos a la privacidad sin recursos adicionales, y, como oficiales públicos, los secretarios debían un rigor particular. Multa: 250.000 €, deliberación publicada el 13 de septiembre de 2022.

Multa de 250.000 € de la CNIL; las 3,7 millones de cuentas funcionaban con contraseñas de máximo 8 caracteres y sin segundo factor; 963.581 cuentas inactivas conservadas más allá del propio límite de 36 meses del sitio

La regla de conservación existía solo en el papel: el límite de 36 meses estaba escrito en la propia carta de Infogreffe, pero nunca se construyó ningún proceso de supresión o anonimización, por lo que los registros se acumularon indefinidamente.

La deuda de seguridad de 2002 nunca se revisó: un límite máximo de 8 caracteres para las contraseñas solo es implementable almacenándolas en texto plano, y rigió silenciosamente las 3,7 millones de cuentas hasta junio de 2021.

El envío de contraseñas por correo electrónico en texto plano, sumado a la ausencia de notificaciones de cambio, significaba que un solo buzón víctima de phishing o una sola llamada telefónica persuasiva permitía la toma de control total de la cuenta — exactamente lo que demostró la reclamación de diciembre de 2020.

La dirección restó prioridad al riesgo: los proyectos de anonimización y seguridad se pospusieron por trabajos de cumplimiento ajenos a la privacidad sin recursos adicionales, y la culpa se trasladó a un encargado del tratamiento que nadie verificaba.

Una política de conservación es una promesa por cuyo incumplimiento se puede multar: Infogreffe redactó una regla de 36 meses y luego nunca construyó el proceso de supresión. Y la deuda de seguridad de 2002 no se extingue por sí sola con el tiempo.

Infogreffe purgó las cuentas inactivas durante más de 36 meses una vez que comenzó la inspección de la CNIL, pero el comité consideró las infracciones estructurales caracterizadas respecto al pasado. La multa de 250.000 € y la decisión publicada se conocieron el 13 de septiembre de 2022; según las normas de publicación de la CNIL, la empresa se anonimiza en la deliberación después de dos años. La llamada telefónica que lo inició todo — un servicio de asistencia que devolvía una contraseña sin más que un nombre — sigue siendo la demostración más clara de que su autenticación trataba la identidad como una formalidad.