Bank of America révèle une violation de données lors du programme de protection des chèques de paie de la SBA
La pandémie de COVID-19 nous a posé un certain nombre de défis, et bien que nous soyons tous à peu près sûrs de les surmonter, certains d'entre eux présentent pas mal de difficultés inattendues. L'histoire d'aujourd'hui, par exemple, vous montrera comment les solutions que nous utilisons pour lutter contre la crise sont souvent conçues à la hâte et sont parfois imparfaites. Cela devrait également vous montrer à quel point les conséquences de tout cela pourraient être graves.
Afin d'aider les petites entreprises à survivre à la pandémie, la US Small Business Administration a mis en place le Paycheck Protection Program. Les entreprises qui y participent peuvent obtenir un prêt qui sera entièrement annulé s'il est directement utilisé pour maintenir la main-d'œuvre occupée pendant la période de fermeture.
L'argent est censé être prêté par des banques participant au programme comme Bank of America (BofA), et il leur appartient de traiter les informations des candidats et de les remettre à l'agence. La SBA a rapidement construit une toute nouvelle plate-forme en ligne pour faciliter cela, et le 22 avril, BofA la testait en soumettant certaines applications. Pour des raisons qui restent obscures, même si cela devait être un test, la banque utilisait de vraies applications pleines de données réelles. Effectivement, à un moment donné, son équipe de sécurité a remarqué que les informations soumises étaient également accessibles à d'autres personnes connectées au système.
Un système de test SBA a révélé les informations des candidats
La semaine dernière, Bank of America a déposé une notification de violation de données auprès du procureur général de l'État de Californie pour divulguer l'incident. Les détails sont peu nombreux, mais selon la lettre, lorsqu'ils ont soumis les demandes du 22 avril, les professionnels de l'informatique de BofA ont remarqué une faille dans le système de SBA, qui a permis à d'autres prêteurs d'accéder aux documents.
C'était inquiétant, car les documents contenaient beaucoup d'informations sur les entreprises demandant le prêt et leurs propriétaires. Les données potentiellement exposées comprenaient:
- Noms
- Emails
- Adresses personnelles
- Adresses professionnelles
- Les numéros de téléphone
- Numéros d'identification fiscale
- Numéros de sécurité sociale
Cela semble plus effrayant qu'il ne l'est
Dès que BofA a remarqué l'exposition potentielle, il en a informé le SBA et les données ont été supprimées du système vulnérable. L'avis de violation souligne qu'il n'y a aucune preuve d'un accès non autorisé aux données, et un porte-parole a déclaré au Charlotte Business Journal que le nombre de clients concernés est "faible". Néanmoins, la violation impliquant des informations extrêmement sensibles, la banque offre aux clients potentiellement impliqués une protection contre le vol d'identité pendant deux ans. L'incident ne devrait pas avoir d'incidence sur les applications du programme de protection des chèques de paie des clients, et dans l'ensemble, il ne ressemble pas à la pire fuite au monde. Cependant, une fuite est une fuite et nous devons en tirer des leçons.
BofA n'était pas la seule banque à tester le système, mais elle est la seule à divulguer une exposition potentielle aux données, ce qui peut ou non suggérer que d'autres prêteurs ont utilisé des informations factices ou invalides. Quoi qu'il en soit, les experts en sécurité des données de la banque devraient probablement réfléchir aux politiques utilisées lors du traitement des données personnelles et professionnelles des clients. Cependant, ils ne sont pas les seuls à tirer des conclusions de tout cela.
Il est évident que la SBA n'a pas eu le temps de tester correctement le système du programme de protection des chèques de paie, mais environ un mois avant que Bank of America ne découvre ce problème, l'agence est passée par un autre incident sans rapport qui suggère que la sécurité des données devrait probablement être renforcée. Liste des priorités de SBA. Dans ce cas, une vulnérabilité menaçait d'exposer les informations privées et commerciales de 8 000 candidats au programme de prêt en cas de catastrophe économique.
La pandémie de coronavirus ne peut pas être une excuse pour une mauvaise gestion des données des personnes. J'espère que tous les responsables comprendront cela avant qu'il ne soit trop tard.
