Infogreffe 明文存储 370 万密码长达 19 年——CNIL 对其处以 25 万欧元罚款

Infogreffe 是法国商事法院书记官的经济利益集团，自 2001 年起通过 infogreffe.fr 销售经认证的公司记录（自 1987 年起通过 Minitel 提供）——这是一项由私人法律官员执行的公共服务使命。2020 年 12 月，一名用户投诉称，他仅凭提供自己的姓名就通过电话找回了自己的密码，并且该网站以明文形式存储密码。CNIL 于 2021 年 3 月进行的在线检查证实，情况远比投诉所述更为严重。

两项违规。保留期限：Infogreffe 自己的 GDPR 章程承诺在用户最后一次下单后 36 个月删除数据，然而截至 2021 年 5 月 1 日，数据库仍保留着 946,023 名会员和 17,558 名订阅者的姓名、地址、电话号码、密保问题及答案——对于订阅者还包括 IBAN 和 BIC——这些人均已超过三年未活动。根本不存在任何自动匿名化机制；约四分之一的账户已超过期限。

安全：在自 2002 年以来从未更新的密码政策下，密码长度被限制为 8 个字符，没有复杂度规则，也没有第二因素认证，密码以明文形式通过电子邮件作为永久凭证发送，以明文形式存储，并且用户在其密码被更改时从未被告知——全部 370 万个账户均处于暴露状态。

其抗辩反而使情况更糟。Infogreffe 辩称安全仅是一项手段义务，且没有实际泄露可供证明，将 CNIL 的密码指引斥为软法，并把责任推给其处理者——同时却从未对该处理者进行监督。委员会称这些失误是结构性的：匿名化和安全工作因无关的合规截止日期而被推迟，且未增加额外资源，而作为公职人员，书记官本应格外严谨。罚款：25 万欧元，审议决定于 2022 年 9 月 13 日公布。

CNIL 罚款 25 万欧元；全部 370 万个账户均使用最长 8 个字符的密码且无第二因素认证；963,581 个休眠账户被保留超过该网站自身规定的 36 个月期限

保留规则仅停留在纸面上：36 个月期限被写入 Infogreffe 自己的章程，但从未建立任何删除或匿名化流程，因此记录无限期累积。

自 2002 年以来的安全欠账从未被重新审视：8 个字符的密码上限只有通过明文存储才能实现，而它一直悄然支配着全部 370 万个账户，直至 2021 年 6 月。

明文电子邮件发送加上不发送更改通知，意味着一个被钓鱼的邮箱或一次有说服力的电话就能实现完全的账户接管——这正是 2020 年 12 月投诉所证明的。

管理层将风险置于较低优先级：匿名化和安全项目因非隐私合规工作而被推迟，且未增加额外资源，责任被推给一个无人检查的处理者。

保留政策是一项承诺，违反它可能招致罚款：Infogreffe 制定了 36 个月规则，却从未建立删除任务。而自 2002 年以来的安全欠账不会自行消失。

CNIL 检查开始后，Infogreffe 清除了休眠超过 36 个月的账户，但委员会认定这些结构性违规针对的是过去的情况。25 万欧元罚款和公布的裁决于 2022 年 9 月 13 日落地；根据 CNIL 的公布规则，该公司在两年后从审议决定中被匿名化。引发这一切的那通电话——服务台仅凭一个姓名就交还了密码——仍然是其身份验证将身份视为形式主义的最清晰证明。