{"Signatur": "CH_EDÖB_001", "Spider": "CH_EDOEB", "Datum": "2021-08-04", "PDF": {"Datei": "CH_EDOEB/CH_EDÖB_001_20210804-Rapport-fin_2021-08-04.pdf", "URL": "https://www.edoeb.admin.ch/dam/de/sd-web/ZNJEjAp8ku7C/20210804_Rapport%20final%20et%20recommandations_SocialPass.pdf", "Checksum": "4e8c90b6a041a82c4f6ece16995cf4c6"}, "Scrapedate": "2026-04-05", "Num": ["20210804_Rapport final et recommandations_SocialPass"], "Kopfzeile": [{"Sprachen": ["de"], "Text": "Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Schlussberichte und Empfehlungen Datenschutz 04.08.2021"}, {"Sprachen": ["fr"], "Text": "Préposé fédéral à la protection des données et à la transparence (PFPDT) Rapports finaux et recommandations protection des données 04.08.2021"}, {"Sprachen": ["it"], "Text": "Incaricato fedeale della protezione dei dati e della trasparenza Rapporti finali e raccomandazioni protezione dei dati 04.08.2021"}], "Meta": [{"Sprachen": ["de"], "Text": "Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Schlussberichte und Empfehlungen Datenschutz"}, {"Sprachen": ["fr"], "Text": "Conféderation Préposé fédéral à la protection des données et à la transparence (PFPDT) Rapports finaux et recommandations protection des données"}, {"Sprachen": ["it"], "Text": "Confederazione Incaricato fedeale della protezione dei dati e della trasparenza Rapporti finali e raccomandazioni protezione dei dati"}], "Abstract": [{"Sprachen": ["de", "fr", "it"], "Text": "Rapport final et recommandations du 4 août 2021 concernant l'application \"SocialPass\""}], "ScrapyJob": "446973/66/2070", "Zeit UTC": "05.04.2026 03:11:31", "Checksum": "16fa52285ea87e75763ebde978102746", "Chunktext": "Extrait de l'arrêt Préposé fédéral à la protection des données et à la transparence (PFPDT) Rapports finaux et recommandations protection des données 04.08.2021\nRegeste:\nRapport final et recommandations du 4 août 2021 concernant l'application \"SocialPass\"\n\n 5 Les chiffresentre crochets font rëfërence au tableau 3: Rësultats trouvës dans SocialScan, ci-dessus.\n\n36/62\n0\n\ne. ApplicationAccepts Special eharacter As User Input [6]\nSocialScan accepte les caractëres spëciaux (>{</ etc.). Cela peut conduire ä I'exëcutiond'un code\nmalveillant,\n\nf. Valid Account Can Be Brute Forced [7]\nUne attaque par force brute (Brute-Force-Attack) est une mëthode d'attaque banale. La thëorie est que\nlors d’une teIle attaque, un nombre infinide tentatives sont faites pour deviner un mot de passe. Ä un\nmoment donnë, le mot de passe correct devrait ëtre devinë. C'est possible avec SocialScan.\n\ng. Missing API Rate Limiting[8]\nLes interfaces d'applicationdont les limites de ressources et de quotas sont absentes ou mal\nimplëmentëes offrent aux attaquants la possibilitë de rëaliser des attaques Brute-Force sur des comptes\nd'utilisateyrs ou de provoquer un dëni de service. L'exploitatËonde cette vulnërabilitë ne nëcessite\nsouvent mëme pas d'authentification ; eIle requiert simplement I'envoi simultanë de plusieurs requëtes.\n\nh. Application Does Not Have A Strong Password Policy [9]\nSocialScan n'a pas de politiquede motde passe ou ne I'appliquepas correctement. Par exemple, iI est\npossibled'utiliserun mot de passe composë d'une seule lettre.\n\ni. Cleartexttrafficis Set To True [111\nSelon le rapport d'audit, le trafic de donnëes sur la plateforme Android s'effectue sans cryptage de\ntransport (SSLfTLS), c'est-ä-dire en texte clair (HTTP).\n\nj. Application is Vulnerable To Simultaneous Login [12]\nII est possibled'ouvrËrplusieurssessions avec les mëmesdonnëes d'identification.Cela augmente donc\nla surface d'attaque, puisqu'un attaquant peut utiliser de maniëre transparente des donnëes\nd'identification valides en mëme temps que I'utilisateur lëgitime.\n\nk. Application's Request/Response Reveals Sensitive Information [13]\nToutes les informationssensibles d'un point de vue technique (c'est-ä-dire les donnëes personnelles et\nles autres donnëes qui pourraientpotentiellementcompromettre la sëcuritë des donnëes, par exemple\nIe mot de passe) ne sont pas obscurcies ä I'aide d'une technique appropriëe teIle que le Salting\n\n37/62\n0\n\nl. SSL Pinning Can Be Bypassed [14]\nDans SocialScan, le SSL Pinning impËëmentë peut ëtre contournë en insërant JavaScript au moment\nde I'exëcution.\n\nm. Insecure Data Storage in File System [15]\nLes vulnërabilitësdu stockage des donnëes surviennent lorsqu'onsuppose que les utilisateursou les\nlogicielsmalveillantsn'ont pas accës au systëme de fichiers d'un appareil mobile et donc aux\ninformationssensibles contenues dans la mëmoire de I'appareil. II faut donc s’attendre ä ce qu'un\nutilisateurmalveillantou un logËcielmalveillantpuisse avoir accës ä des donnëes sensibles dans\nSocialScan. Le rootageou lejailbreak d'un appareil mobile contournetoute mesure de protectionpar\ncryptage.\n\nn. Insecure Content Security Policy (Csp)/X-Frame-Options [16]\nL'en-tëtede rëponse HTTP de X-Frame-Options dans SocialScan peut ëtre utilisë pour spëcifier si un\nnavigateurest autorisëou non ä rendre une page dans un <frame>, <iframe>, <embed>, ou <object>.\n\no. Missing HSTS Header [17]\nSocialScan n'utilisepas d'en-tëte HSTS. Cela signifie que les communications non cryptëes via HTTP\nsont autorisëes\n\np. InformationLeakage From Clipboard [18]\nSocialScan permet de copier-collerä partir du presse-papiers, notamment le copier-coller de mots de\npasse figurant dans Ie presse-papiers.\n\nq. Sensitive Data Disclosure in Recent Apps [19]\nAu vu du rapport, aucune prëcaution n’est prise pour empëcher I'utilisationde donnëes sensibles (d’un\npointde vue technique)par des applicationstierces (par exemple,en mettanten cache des\ninstantanës d'applications).\n\nr. ApplicationHas Set Insecure Permissions [21]\nII s'est avërë que SocialScan n'avaitpas dëfinides droits d'accës, ce qui constitueune menace pour\nla sëcuritë pouvant entraTnerdes fuites de donnëes dans le pire des cas\n\n38/62\n0\n\n3. Apprëciation juridique et recommandations\n\nSur la base des faits ëtablis ci-dessus, notifiësaux parties Ie 20 mai 2021, le PFPDT considëre ce qui\nsuit (chapitre 3). II tient ä relever que contrairement ä ce que peuvent laisser entendre les documents\nsoumis par les parties, le PFPDT ne fonde pas ses considërations sur 1’«attestationde conformitë»\nd'un audit externe teIle que mentionnëedans Ie document intitulë < COVID-19 – Dispositifs\nd'identification de la clientële dans les ëtablissements de restauration, Procëdure de vërification\ntechnique – 15 octobre 2020 ». En effet, une teIle attestation, bien que mentionnëe dans ledit document\nfigurantau dossier, n’a pas ëtë soumise au PFPDT au cours de la procëdure d'ëtablissementdes faits\n\n3.1. Röles et responsabilitës\n\n"}