Infogreffeは3.7百万件のパスワードを19年間平文で保存——CNILが25万ユーロの制裁金

Infogreffeはフランスの商事裁判所書記官による経済利益団体であり、2001年からinfogreffe.frを通じて（1987年からはミニテルを通じて）認証済みの企業記録を販売している——民間の法律職が担う公共サービスの使命である。2020年12月、ある利用者が、名前だけを伝えた電話で自分のパスワードを取得できたこと、およびサイトがパスワードを平文で保存していることを申し立てた。CNILの2021年3月のオンライン検査は、申し立てよりもはるかに深刻な実態を確認した。

違反は二つ。保存期間について：Infogreffe自身のGDPR憲章は利用者の最終注文から36か月後の削除を約束していたにもかかわらず、2021年5月1日の時点でデータベースには、3年以上非活動状態だった946,023名の会員と17,558名の購読者について、氏名、住所、電話番号、秘密の質問と回答、そして購読者についてはIBANとBICまで保持されていた。自動匿名化は一切存在せず、アカウントの約4分の1が上限を超えて放置されていた。

セキュリティについて：2002年から変更されていないパスワードポリシーの下で、パスワードは8文字に制限され、複雑性の規則も二要素認証もなく、恒久的な認証情報として平文でメール送信され、平文で保存され、パスワードが変更された際に利用者に通知されることもなかった——3.7百万件のアカウントすべてが露出していた。

抗弁は事態を悪化させた。Infogreffeは、セキュリティは手段義務にすぎず実際の侵害を示すものはないと主張し、CNILのパスワード指針をソフトローとして退け、自社の処理者に責任を転嫁した——しかもその処理者を監督することも一切なかった。委員会はこの失敗を構造的なものと評した。匿名化とセキュリティの作業は、追加のリソースなしに、プライバシーと無関係なコンプライアンス期限のために後回しにされており、公務員としての書記官には特に厳格さが求められるからである。制裁金：25万ユーロ、決定は2022年9月13日に公表された。

CNILの制裁金25万ユーロ；3.7百万件のアカウントすべてが最大8文字のパスワードで二要素認証なしに運用されていた；963,581件の休眠アカウントがサイト自身の36か月の上限を超えて保持されていた

保存期間の規則は紙の上にしか存在しなかった。36か月の上限はInfogreffe自身の憲章に記されていたが、削除や匿名化のプロセスは一切構築されず、記録は無期限に蓄積された。

2002年からのセキュリティ負債は見直されることがなかった。8文字のパスワード上限は平文保存によってのみ実装可能であり、それが2021年6月まで3.7百万件のアカウントすべてを静かに支配していた。

平文でのメール配信と変更通知の欠如により、フィッシングされた受信箱一つ、あるいは説得力のある電話一本でアカウント全体が乗っ取られ得た——まさに2020年12月の申し立てが示したとおりである。

経営陣はリスクを後回しにした。匿名化とセキュリティのプロジェクトは、追加のリソースなしに、プライバシーと無関係なコンプライアンス作業のために延期され、責任は誰も確認していない処理者に転嫁された。

保存期間ポリシーは、破れば制裁金を課され得る約束である。Infogreffeは36か月の規則を定めながら、削除処理を決して構築しなかった。そして2002年からのセキュリティ負債は、自然に時効で消えるものではない。

InfogreffeはCNILの検査が始まると、36か月を超えて休眠状態だったアカウントを削除したが、委員会は構造的な違反を過去のものとして認定した。25万ユーロの制裁金と公表された決定は2022年9月13日に下された。CNILの公表規則により、当該企業は決定から2年後に匿名化される。発端となった電話——氏名だけでパスワードを返却したヘルプデスク——は、その認証が身元確認を形式的なものとして扱っていたことを示す最も明快な証拠であり続けている。