Infogreffe armazenou 3,7 milhões de senhas em texto claro por 19 anos — CNIL aplicou multa de €250.000

A Infogreffe é o grupo de interesse econômico dos escrivães dos tribunais comerciais da França, que vende registros certificados de empresas por meio do infogreffe.fr desde 2001 (Minitel desde 1987) — uma missão de serviço público exercida por agentes legais privados. Em dezembro de 2020, um usuário reclamou que havia recuperado a própria senha por telefone fornecendo apenas o nome, e que o site armazenava senhas em texto claro. A inspeção on-line da CNIL de março de 2021 confirmou algo muito pior do que a reclamação.

Duas violações. Retenção: a própria carta GDPR da Infogreffe prometia exclusão 36 meses após o último pedido de um usuário, mas em 1º de maio de 2021 o banco de dados ainda continha nomes, endereços, números de telefone, perguntas e respostas secretas — e, para assinantes, IBAN e BIC — de 946.023 membros e 17.558 assinantes inativos por mais de três anos. Não existia nenhuma anonimização automática; cerca de um quarto das contas estava além do limite.

Segurança: sob uma política de senhas intocada desde 2002, as senhas eram limitadas a 8 caracteres sem regras de complexidade e sem segundo fator, enviadas por e-mail em texto claro como credenciais permanentes, armazenadas em texto claro, e os usuários nunca eram avisados quando sua senha mudava — todas as 3,7 milhões de contas estavam expostas.

As defesas pioraram a situação. A Infogreffe argumentou que a segurança é apenas uma obrigação de meios, sem nenhuma violação efetiva a demonstrar, desqualificou as orientações da CNIL sobre senhas como soft law e culpou seu operador — sem nunca supervisionar esse operador tampouco. O comitê classificou as falhas como estruturais: o trabalho de anonimização e segurança havia sido adiado por prazos de conformidade não relacionados sem recursos extras, e, como agentes públicos, os escrivães deviam particular rigor. Multa: €250.000, deliberação publicada em 13 de setembro de 2022.

Multa de €250.000 da CNIL; todas as 3,7 milhões de contas operavam com senhas de no máximo 8 caracteres e sem segundo fator; 963.581 contas inativas mantidas além do próprio limite de 36 meses do site

A regra de retenção existia apenas no papel: o limite de 36 meses estava escrito na própria carta da Infogreffe, mas nenhum processo de exclusão ou anonimização foi jamais construído, de modo que os registros se acumularam indefinidamente.

A dívida de segurança de 2002 nunca foi revista: um teto de senha de 8 caracteres só é implementável armazenando em texto claro, e ele governou silenciosamente todas as 3,7 milhões de contas até junho de 2021.

O envio de senhas por e-mail em texto claro somado à ausência de notificações de mudança significava que uma caixa de entrada phishingada ou uma ligação telefônica persuasiva dava controle total da conta — exatamente o que a reclamação de dezembro de 2020 demonstrou.

A gestão despriorizou o risco: projetos de anonimização e segurança foram adiados por trabalho de conformidade não relacionado à privacidade sem recursos extras, e a culpa foi transferida para um operador que ninguém verificava.

Uma política de retenção é uma promessa pela qual você pode ser multado por quebrar: a Infogreffe escreveu uma regra de 36 meses e depois nunca construiu a rotina de exclusão. E a dívida de segurança de 2002 não se resolve sozinha com o tempo.

A Infogreffe eliminou as contas inativas por mais de 36 meses assim que a inspeção da CNIL começou, mas o comitê considerou as violações estruturais caracterizadas no passado. A multa de €250.000 e a decisão publicada saíram em 13 de setembro de 2022; pelas regras de publicação da CNIL, a empresa é anonimizada na deliberação após dois anos. A ligação telefônica que deu início a tudo — um helpdesk devolvendo uma senha mediante apenas um nome — continua sendo a demonstração mais clara de que sua autenticação tratava a identidade como uma formalidade.