À retenir
- HelloAsso n’a jamais subi de fuite de données.
- La rumeur vise Association.fr, un site vitrine appartenant à HelloAsso, sur lequel aucune donnée personnelle n’est hébergée.
- Un audit technique mené avec des experts en sécurité n’a révélé aucune faille de sécurité.
- Les 450 000 associations qui utilisent HelloAsso, culturelles ou non, ne sont pas concernées.
En France, plusieurs milliers d’associations culturelles s’appuient chaque année sur HelloAsso pour organiser leurs festivals, financer leurs saisons, gérer les adhésions de leurs écoles de musique ou de danse, ou encore collecter des dons pour la sauvegarde du patrimoine. Chorales, théâtres amateurs, MJC, ciné-clubs : la plateforme s’est imposée comme un outil de référence pour tout un pan de la vie culturelle associative. C’est dans ce contexte que la nouvelle d’une prétendue fuite de données concernant HelloAsso a suscité l’inquiétude, avant d’être fermement démentie.
« Non, HelloAsso n’a jamais subi de fuite de données », affirme une source directe chez HelloAsso, interrogée sur les allégations qui circulaient la semaine dernière.
Une rumeur née d’un forum cybercriminel
L’origine de cette inquiétude remonte à la publication, sur un forum fréquenté par des cybercriminels, d’une annonce revendiquant la détention de centaines de milliers de données de dirigeants associatifs. Selon cette revendication, les informations proviendraient du site Association.fr.
Ce nom de domaine appartient bien à HelloAsso, mais il se limite à une vitrine d’information sur la vie associative. Aucune donnée personnelle n’y est collectée ni hébergée, ce qui affaiblit d’emblée la cohérence de la revendication.
Un audit mené sans délai
Deux sites spécialisés en cybersécurité ont relayé cette annonce, ce qui a conduit les équipes techniques de HelloAsso à ouvrir une investigation dès la publication des articles. Des experts en sécurité ont été associés aux vérifications, portant à la fois sur HelloAsso et sur Association.fr.
Au terme de plusieurs heures d’analyse, aucune faille de sécurité susceptible d’expliquer une fuite de données n’a été identifiée. Les deux sites à l’origine de la publication initiale ont depuis été informés de ces conclusions.
Les sites spécialisés ont mis à jour leurs articles pour expliquer que aucune vraie fuite n’a eu lieu, et que leurs sources se sont avérées fausses.
Pourquoi la sécurité des données compte particulièrement pour le secteur culturel
Pour les associations culturelles, la question dépasse le simple cadre technique. Beaucoup d’entre elles utilisent HelloAsso pour la billetterie de leurs spectacles, l’adhésion à leurs cours, ou la collecte de dons destinés à des projets patrimoniaux, souvent avec des bénévoles peu familiers des enjeux de cybersécurité. Une fuite de données bancaires ou de contact aurait pu fragiliser durablement la confiance de ces structures envers leur outil de gestion.
HelloAsso met en avant son agrément par l’Autorité de contrôle prudentiel et de résolution (ACPR) ainsi qu’un dispositif de sécurité aligné sur la norme ISO 27001, des garanties qui concernent directement les 450 000 associations, culturelles ou non, qui utilisent la plateforme au quotidien.
À ce stade, rien ne permet donc de confirmer une quelconque fuite de données concernant HelloAsso. Les associations culturelles qui utilisent la plateforme peuvent poursuivre leurs activités sans que cet épisode ne remette en cause la sécurité de leurs données.