Experian (2015) Exposition présumée de données

Les catégories de données de cette fiche comprennent la situation de crédit, les dates de naissance, les adresses e-mail, l’origine ethnique, la composition familiale, le genre, le statut de propriétaire du logement, le niveau de revenus, les adresses IP, les noms, les numéros de téléphone, les adresses postales et les habitudes d’achat. Le rapprochement de ces informations présente non seulement un risque de prise de contact malveillante, mais permet aussi de constituer un profil détaillé du consommateur. Le nom, l’adresse, le téléphone et l’adresse e-mail permettent un ciblage élémentaire fondé sur l’identité et les coordonnées. La situation de crédit, le niveau de revenus, le statut de propriétaire et les habitudes d’achat peuvent, quant à eux, rendre les messages d’ingénierie sociale plus convaincants.

Les données démographiques, comme l’origine ethnique, la composition familiale et le genre, sont également importantes du point de vue de la vie privée. Ces informations peuvent être utilisées à mauvais escient sous couvert d’offres financières, d’accords de crédit, de faux recouvrements de créances, de demandes frauduleuses auprès d’opérateurs ou de vérifications d’identité. Une adresse IP ne constitue pas, à elle seule, une preuve certaine de localisation; elle peut toutefois fournir des indices sur le contexte d’utilisation d’un compte ou sur une zone géographique approximative. La fiche Experian (2015) doit donc être considérée moins comme un cas de prise de contrôle de comptes reposant sur des mots de passe que comme un ensemble de données relatives à l’identité, au crédit, aux coordonnées et au profil de consommation.

Le nombre de comptes retenu pour cette fiche est de 7 196 890, et la date de l’événement est enregistrée au 16 septembre 2015. Les déclarations officielles de T-Mobile/Experian en 2015 indiquent qu’environ 15 millions de personnes auraient pu être touchées. Il s’agissait de personnes ayant demandé une vérification de solvabilité pour un service T-Mobile ou le financement d’un appareil entre le 1er septembre 2013 et le 16 septembre 2015. Toutefois, l’origine exacte du jeu de données correspondant à environ 7,2 millions de comptes dans cette fiche de consultation n’a pas été entièrement vérifiée. Ces deux chiffres ne doivent donc pas être regroupés en un seul nombre de victimes : les 15 millions correspondent au périmètre officiel de l’incident, tandis que les 7 196 890 doivent rester un décompte distinct, celui des comptes consultables dans cette fiche.

Les déclarations officielles précisaient que les systèmes et le réseau de T-Mobile n’avaient pas été directement compromis et que l’incident concernait des données clients détenues par Experian. Par ailleurs, les données de comptes financiers ou de cartes de paiement ne doivent pas être présentées comme une catégorie vérifiée pour cette fiche. Même si les informations officielles sur l’incident indiquaient que les champs contenant des numéros d’identification étaient stockés sous forme chiffrée et que cette protection avait pu être affaiblie, les catégories de données de cette fiche de consultation doivent se limiter aux champs du profil consommateur mentionnés plus haut. Cette limite est nécessaire pour présenter le risque réel à l’utilisateur sans donner pour certains des éléments dont l’origine n’a pas été établie avec certitude.

Le groupe le plus exposé est constitué des personnes ayant demandé une vérification de solvabilité pour un service T-Mobile ou le financement d’un appareil au cours de la période 2013-2015. Le rapprochement de leurs noms, adresses, dates de naissance et informations d’évaluation de solvabilité peut rendre plus crédibles les escroqueries reposant sur de fausses offres de crédit, de faux appels du service d’assistance d’un opérateur, des prétextes de vérification d’identité ou le recouvrement de créances. Les numéros de téléphone et les adresses e-mail facilitent la prise de contact directe par un attaquant; l’adresse postale peut, quant à elle, accroître le risque d’ingénierie sociale faisant intervenir de faux documents, des courriers ou des livraisons.

Les personnes dont le profil comporte des informations telles que le niveau de revenus, le statut de propriétaire du logement, la composition familiale et les habitudes d’achat peuvent être exposées à des campagnes plus ciblées. Ces données peuvent servir à préparer des offres financières ou des messages de renouvellement de crédit qui semblent adaptés à leur situation économique. La présence de données démographiques accroît également les risques de discrimination, de profilage non souhaité et d’atteinte à la vie privée. Cette fiche doit donc être considérée non seulement comme un ancien fichier clients, mais aussi comme un jeu de données sensibles présentant des risques d’usurpation d’identité et de profilage des consommateurs.

Si vous constatez une correspondance avec cette fiche, commencez par vérifier vos rapports de crédit et vos comptes financiers afin de repérer toute demande inhabituelle, ouverture de compte ou modification d’adresse. Envisagez des protections comme le gel du crédit ou les alertes à la fraude, si elles sont disponibles dans votre pays. Faites preuve de prudence face aux messages ou appels concernant un accord de crédit, un compte auprès d’un opérateur, le financement d’un appareil, une restructuration de dette ou une demande de vérification d’identité. Même si le message semble authentique, vérifiez les informations en vous rendant vous-même sur le site officiel de l’organisme concerné avant de cliquer sur un lien.

Les appels s’appuyant sur votre adresse, votre date de naissance, votre numéro de téléphone et votre adresse e-mail peuvent paraître plus convaincants. Ne faites donc pas confiance à votre interlocuteur au seul motif qu’il présente comme preuve des informations personnelles qu’il connaît déjà. Ne prenez pas de décision précipitée concernant une demande de crédit, un changement de SIM, le paiement échelonné d’un appareil ou une vérification de compte. Protégez votre compte e-mail avec un mot de passe robuste et une authentification multifacteur. Si vous conservez des documents de votre ancien opérateur ou de vos demandes de crédit, examinez-les pour déterminer auprès de quels organismes vos informations d’identité ont été communiquées.

À long terme, les informations personnelles utilisées dans les demandes financières et les démarches auprès d’opérateurs doivent faire l’objet d’un suivi régulier. Les agences d’évaluation du crédit, les opérateurs et les intermédiaires de données peuvent conserver de nombreux champs de vérification et de profil sur un utilisateur; un seul incident peut ainsi ouvrir la voie à plusieurs enchaînements de fraudes. Consultez régulièrement vos rapports de crédit, surveillez les notifications de changement d’adresse, ne conservez pas d’anciens numéros de téléphone comme moyens de récupération de compte et activez les notifications de transactions pour vos comptes importants.

Pour les organismes, l’incident Experian (2015) montre que la sécurité des prestataires de traitement des données a un effet direct sur celle des clients. L’opérateur ne devrait pas conserver plus longtemps que nécessaire les données utilisées dans les procédures de crédit, de financement et de vérification d’identité. Le chiffrement, le contrôle des accès, la journalisation détaillée et les audits des fournisseurs doivent être mis en œuvre régulièrement. Du côté des utilisateurs, éviter de communiquer des informations personnelles sur des plateformes où cela n’est pas nécessaire, suivre les organismes qui détiennent les données de leur profil financier et savoir reconnaître les faux contacts liés au crédit ou à un opérateur permettent de réduire durablement les risques.

Si vos données correspondent à la fiche Experian (2015), considérez ce résultat non comme une preuve certaine d’usurpation d’identité, mais comme un signal de risque qui exige une grande vigilance. La fiche conserve le statut « non vérifiée ». Néanmoins, lorsque l’adresse e-mail, le nom, l’adresse postale, le numéro de téléphone ou les informations de profil financier correspondants sont recoupés avec des données provenant d’autres sources, le risque de fraude augmente. Il convient donc d’aborder ensemble la surveillance des rapports de crédit, les alertes sur les comptes financiers, la sécurité des comptes auprès des opérateurs et la protection de la messagerie électronique.

Cette fiche a été préparée pour expliquer l’incident Experian (2015) sans exagération ni confusion entre les chiffres. L’incident officiel T-Mobile/Experian correspond à un périmètre distinct, qui concerne environ 15 millions de demandeurs, tandis que cette fiche compte 7 196 890 comptes consultables. Elle reste classée comme non vérifiée, car l’origine du jeu de données n’a pas pu être confirmée. Les mesures à prendre consistent à surveiller les activités liées au crédit et à l’identité, à vérifier les messages suspects provenant prétendument d’un opérateur ou d’un organisme financier, à renforcer la sécurité des comptes de communication et à assurer un suivi à long terme pour détecter les utilisations abusives des données de profil personnel.