Nous y revoilà: Experian responsable d'une violation de données qui affecte 24 millions

En fin de compte, vous n'avez pas toujours besoin de violer la sécurité d'une organisation pour obtenir un accès non autorisé à une vaste mine d'informations. Experian, un bureau multinational d'évaluation du crédit, a prouvé que parfois, tout ce que vous avez à faire est de demander poliment.

La semaine dernière, la succursale sud-africaine d'Experian a admis qu'une violation de données avait entraîné la fuite de certaines informations des consommateurs. Il n'a cependant pas tardé à souligner que l'incident n'impliquait aucun piratage. Au lieu de cela, un escroc s'est fait passer pour l'un des clients d'Experian et un employé du bureau de crédit a volontairement divulgué les données.

Si nous devions classer les incidents de cybersécurité en fonction de l'embarras qu'ils provoquent, celui-ci irait plutôt près du sommet. Vous vous attendez à ce que la victime lève la main, admette qu'elle a commis une erreur stupide et promet de prendre des mesures afin d'éviter des incidents similaires à l'avenir. Il semble cependant qu'Experian ait d'autres idées pour gérer une violation de données.

Experian essaie de minimiser le problème

Au lieu de parler des changements mis en œuvre pour empêcher de telles violations de données, la déclaration d'Experian souligne le fait qu'aucune information de crédit ou financière n'a été exposée. Selon le bureau de crédit, les données qui ont été transmises sont généralement fournies dans «le cours normal des affaires» et l'escroc qui les a prises avait l'intention de les utiliser pour organiser une campagne de marketing. Ledit arnaqueur a été identifié, son «matériel» a été saisi et les données divulguées ont été supprimées. Tous les régulateurs et organismes d'application de la loi concernés ont été informés, et bien que l'enquête soit toujours en cours, rien n'indique que les données exposées aient été utilisées à mauvais escient.

Enfin, le bureau de crédit a exhorté les consommateurs à vérifier gratuitement leurs rapports de crédit sur www.mycreditcheck.co.za, et Ferdie Pieterse, PDG d'Experian Africa, s'est excusé pour ce qu'il a qualifié de «désagrément».

C'est bien plus qu'un inconvénient

Experian n'est pas étranger aux problèmes de sécurité des données. Dans ce qui doit être l'un des plus grands incidents de cybersécurité de 2015, des pirates ont compromis les serveurs de la succursale américaine du bureau de crédit et volé les données personnelles de 15 millions de personnes. En 2013, l'une de ses filiales a été prise dans une enquête de vol d'identité qui a suscité beaucoup de controverse. Ces deux incidents ont laissé de nombreuses leçons à tirer, mais à en juger par la manière dont Experian gère la récente violation de données, il n'en a rien tiré.

Même si vous avez décidé d'ignorer le fait qu'Experian a permis à l'un de ses employés d'être amené à divulguer beaucoup d'informations personnelles, vous devez regarder la façon dont le bureau divulgue le problème, et vous verrez qu'il y en a beaucoup problèmes avec cela.

La déclaration indique, par exemple, que les informations qui ont été divulguées sont soit accessibles au public, soit régulièrement partagées avec d'autres organisations, mais ne tente pas de divulguer la nature précise des données. Les gens ne savent pas lesquels de leurs détails personnels ont été exposés et ils n'ont aucun moyen de savoir de quel type d'attaques ils doivent se méfier. Experian n'a pas non plus dit quand l'incident s'est produit.

Pire encore, bien qu'il se soit excusé auprès des parties concernées, il a oublié de mentionner le nombre d'entre eux. Heureusement, le South African Banking Risk Center (SABRIC), qui est impliqué dans l'enquête, a été plus généreux avec les détails. Selon lui, le fraudeur a mis la main sur les informations de 24 millions de Sud-Africains et un peu moins de 800 000 entités commerciales.

SABRIC dit qu'il travaille actuellement avec les banques et Experian pour identifier les personnes concernées. En attendant, il est conseillé à chacun de se méfier de toute demande d'informations personnelles par e-mail, SMS ou appel téléphonique.

Vous vous demandez peut-être pourquoi Experian n'a pas divulgué toutes ces informations dans sa déclaration. Malheureusement, votre estimation est aussi bonne que la nôtre.