Les serveurs de l'e-commerçant rejetteraient régulièrement les connexions TSL, occasionnant ainsi l'envoi de courriers électroniques sans authentification ni chiffrement des données.
Max Schrems a encore frappé. L'activiste autrichien, connu pour ses multiples recours contre les géants du numérique, a annoncé avoir déposé plainte contre Amazon auprès de l'autorité de surveillance de l'État de Hesse, en Allemagne, au nom de son organisation à but non lucratif « noyb », le mardi 18 février. Le militant reproche à la firme américaine de ne pas suffisamment sécuriser les mails envoyés par les vendeurs du site via sa marketplace, ce qui serait contraire au RGPD.
Linky : EDF et ENGIE mises en demeure par la CNIL pour collecte de données personnelles
Un protocole de cryptage indispensable
Selon la plainte, les mails qui transitent par les serveurs de la marketplace d'Amazon ne seraient pas tous sécurisés. Ce qui peut potentiellement concerner des millions de mails, qui ne fourniraient pas le fameux cryptage TLS, l'un des protocoles cryptographiques permettant l'authentification et le chiffrement des données qui transitent justement entre des serveurs, des ordinateurs ou des applications en réseau, comme lorsqu'un client se connecte à un serveur web.Ne pas assurer une sécurité standard entraîne deux conséquences majeures. La première est le risque sécuritaire en lui-même, puisque sans cryptage TLS, les mails envoyés par les vendeurs de la marketplace exposent les informations qui transitent, qui peuvent ensuite être interceptées, manipulées ou utilisées illégalement par des acteurs malveillants.
« TLS est comme une enveloppe autour d'une lettre. S'il n'est pas utilisé, n'importe qui peut lire le contenu d'un e-mail en cours d'envoi », confirme Stefano Rossetti, spécialiste des questions de vie privée chez noyb.
Amazon Care, la clinique virtuelle d'Amazon est désormais disponible pour ses employés à Seattle
Une violation des dispositions du RGPD
La seconde conséquence est qu'il s'agit d'une violation de l'article 32 du Règlement général sur la protection des données européen (RGPD), qui impose aux entreprises de tout mettre en œuvre pour préserver la confidentialité des communications, en sécurisant le traitement, qui passe notamment par le chiffrement des données à caractère personnel et la protection de l'intégrité des systèmes et des services de traitement.Le cryptage TLS étant relativement bon marché, surtout pour un acteur comme Amazon, il paraît très étonnant de la part de la firme de Seattle qu'elle n'exige, ni autorise TLS pour les courriers électroniques. Google, avec Gmail, et Apple, avec Mail iCloud, utilisent TLS par défaut.
Amazon n'a pour l'instant pas officiellement réagi après le dépôt de la plainte de Max Schrems.
Amazon Marketplace servers reject #TLS connections for emails. It seems many emails are sent without any encryption (like an "open letter"). We (@noybeu) have sent a complaint unter Article 32 #GDPR... 😉https://t.co/2AHbo91vxF pic.twitter.com/JzlUXDNhez
— Max Schrems 🇪🇺🇦🇹 (@maxschrems) February 19, 2020
Source : noyb
Journaliste, chargé de l'actualité de CLUBIC. Reporter, vidéaste, animateur et même imitateur-chanteur, j'ai écrit mon premier article en 6ème. J'ai fait de cette vocation mon métier (diplômé de l'EJCAM), pour écrire, interroger, filmer, monter et produire au quotidien. Des atomes crochus avec la Tech, certes, mais aussi avec l'univers des médias, du sport et du voyage. Outre le journalisme, la prod' vidéo et l'animation, je possède une chaîne YouTube (à mon nom) qui devrait piquer votre curiosité si vous aimez les belles balades à travers le monde, les nouvelles technologies et Koh-Lanta :)
Lire d'autres articles
