France Travail, l’enseigne Boulanger, la Caisse d’Assurance Vieillesse ou, plus récemment, l’opérateur Free ont tous été piratés depuis début 2024.
Que deviennent les millions de données personnelles ainsi volées ?
Des hackers proposent leur éclairage à TF1.
Suivez la couverture complète
Le 20 heures
Marie-Madeleine Sabbi, abonnée à Free, a vite compris. « Vous rendez-vous compte de l’anxiété dans laquelle nous vivons ? Avoir peur d’ouvrir un email, un appel téléphonique… C’est l’inconnu. Vous avez quelqu’un qui se promène avec toutes vos coordonnées, mais vous ne savez pas qui »décrit le retraité au micro de TF1, dans le JT de 20 heures visible en tête de cet article. Depuis la semaine dernière et le message envoyé par l’opérateur, elle et son mari sont persuadés qu’ils font partie des 19,2 millions de clients dont les données personnelles ont été volées. Dernière cyberattaque d’une longue série, ayant touché France Travail, l’enseigne Boulanger et la Caisse d’assurance vieillesse rien qu’en 2024.
Mais concrètement, que deviennent ces informations une fois qu’elles ont été volées ? L’auteur du hack du groupe Iliad, propriétaire de Free, a déjà indiqué avoir revendu toutes ces données pour 160 000 euros. Il ne faudra que quelques minutes à Clément Domingo, alias SaxX, pour en retrouver 100 000, librement accessibles sur Internet. « Les informations les plus critiques sont les données bancaires, dont l’Iban et le fameux BIC, qui servent à toute une série d’opérations »indique le « gentle hacker » autoproclamé, un expert en cybersécurité et informatique qui aide les ONG humanitaires piratées.
-
Lire aussi
Vol de données chez Free : les informations personnelles des clients (déjà) vendues, annonce le hacker
Devant son écran et devant notre caméra, il démontre que des retraits frauduleux peuvent bel et bien être effectués depuis votre compte bancaire avec ces seules données : « On donne les différentes informations, comme ici avec le numéro d’Iban, et puis il ne reste plus qu’à payer. Écoutez, un montant a été émis.
Tiphaine Romand-Latapie, une autre experte en cybersécurité, en l’occurrence pour le compte de la société spécialisée Synacktiv, recommande, dans un tel cas, d’alerter immédiatement votre conseiller bancaire : “La seule chose que vous pouvez faire est d’être vigilantelle élabore. Cela signifie donc surveiller votre compte pour vérifier qu’il n’y a pas de retraits non autorisés. En surveillant tout, même les petites quantités. C’est important. Pendant treize mois, vous pouvez vous y opposer et l’argent sera restitué sur votre compte.
Généralement, ce sont d’autres pirates qui rachètent les données volées, pour rentabiliser eux-mêmes l’investissement en exploitant leur contenu. « Au vu du prix d’achat annoncé par l’auteur de la cyberattaque contre Free, il est probable que la personne qui a acheté le fichier informatique le conservera pendant une courte période.précise Baptiste Robert, alias fs0c131y, chercheur en cybersécurité et ‘nice hacker’, à TF1info. Ensuite, le hacker les vendra au détail à d’autres hackers, qui les revendront ensuite à d’autres. Si 100 000 de ces données fraîchement volées sont déjà accessibles, c’est parce qu’elles ont probablement fuité par le passé, ce qui leur a fait perdre de leur valeur sur ce marché noir 2.0.
-
Lire aussi
Fuite massive de données chez Free : comment réagir si vous êtes concerné ?
Tous sont destinés à être utilisés à des fins de tentatives de fraude, le plus souvent par usurpation d’identité, ou dans le cadre de campagnes de phishing. « Les pirates informatiques utiliseront les informations bancaires pour personnaliser et rendre leurs tentatives d’arnaque plus convaincantes.poursuit Baptiste Robert. Les personnes concernées par une fuite de données recevront des emails et des SMS les invitant à cliquer sur un lien frauduleux, dans le but de récupérer leurs identifiants et mots de passe, ou d’autres données bancaires. Il va falloir redoubler de vigilance. »
Si la Banque de France assure que les RIB fuient (dont notamment l’Iban et le BIC) “n’est pas risqué en soi”Parce que vous devez signer un mandat de prélèvement pour que quelqu’un puisse prélever de l’argent sur votre compte, sachez qu’un fraudeur peut lui-même s’inscrire comme émetteur de prélèvement auprès d’un prestataire de services de paiement, pour ensuite falsifier des mandats de prélèvement pour obtenir des Iban illégalement. L’escroc peut également souscrire des abonnements et des services payés par prélèvement automatique. Quoi qu’il en soit, la vigilance s’avère payante même dans ces cas-là : chacun dispose d’un délai de huit semaines pour contester tout prélèvement, y compris après avoir utilisé un mandat de prélèvement, et ainsi se faire rembourser, « sans condition »souligne l’Observatoire de la sécurité des moyens de paiement (OSMP).
