Fuite de données Serasa Experian au Brésil (2020)

Les catégories de données vérifiées sont les noms, les dates de naissance, le genre et les numéros d’identification délivrés par les autorités publiques. Au Brésil, les numéros d’identification tels que le CPF sont les données les plus critiques, car ils servent d’identifiant principal dans les démarches financières, administratives et numériques d’une personne. Associés au nom, à la date de naissance et au genre, ils permettent de constituer un profil détaillé utilisable dans des procédures de vérification d’identité, des fraudes ou des demandes frauduleuses. Même si la présence de mots de passe ou de données de cartes de paiement n’est pas vérifiée, ces données d’identité présentent un risque à long terme, car elles ne changent pas au fil des années.

Les fuites de données contenant des numéros d’identification se distinguent des fuites classiques de mots de passe de comptes. Les mots de passe peuvent être modifiés, mais les numéros d’identification et les dates de naissance sont permanents pour la plupart des personnes. Ces informations peuvent être utilisées pour des demandes de crédit frauduleuses, des ouvertures de comptes, des fraudes financières, de l’ingénierie sociale, de faux appels du service client ou l’usurpation de l’identité d’institutions officielles. En outre, lorsqu’elles sont croisées avec d’autres jeux de données, des informations comme le nom, la date de naissance et le genre augmentent les possibilités de retrouver l’adresse, le numéro de téléphone, les revenus ou les informations de profil social d’une personne. La fiche Serasa Experian au Brésil en 2020 présente donc un risque lié à des données personnelles sensibles, même si elle ne contient pas de mots de passe.

Le périmètre vérifié pour cette fiche porte sur 223 739 215 personnes. La date des données a été située à la fin de 2020, et celle de leur divulgation publique en janvier 2021. Les principaux champs vérifiés sont le nom, la date de naissance, le genre et le numéro d’identification. Certains articles de presse et travaux de recherche ont mentionné des adresses, des numéros de téléphone, des scores de crédit, des revenus, des informations sur les véhicules et d’autres champs de données personnelles. Toutefois, cette liste de catégories de données ne retient que les champs dont la présence peut être vérifiée pour cette fiche. Ce choix délibéré vise à éviter de vous présenter comme certaines des données non vérifiées.

Les limites de l’attribution doivent également rester explicites. Le jeu de données a circulé sous le nom de Serasa Experian, et de nombreux observateurs ont désigné cette entreprise en raison de la nature des données. Néanmoins, il n’a pas été confirmé que ses systèmes avaient été compromis ni que les données provenaient directement de sa base de données. Le champ relatif à la source doit donc indiquer qu’il s’agit d’une fiche de fuite de données non vérifiée. Pour vous, cette distinction ne signifie pas que le risque est faible. Lorsque des informations permanentes, comme les numéros d’identification et les dates de naissance, sont concernées, une origine contestée ne justifie pas de retarder les mesures de protection.

Le groupe le plus exposé comprend les personnes au Brésil qui disposent d’un numéro d’identification, d’un profil de crédit ou d’un dossier de consommateur. Il a été rapporté que le jeu de données pourrait contenir des dossiers de personnes décédées aussi bien que de personnes vivantes. Cette situation peut accroître les risques de fraude liés aux successions, aux familles, aux lignes téléphoniques et aux finances. Comme le numéro d’identification et la date de naissance peuvent encore être demandés comme identifiants complémentaires lors d’appels à l’assistance ou de procédures de vérification en ligne, ces informations peuvent donner un avantage à l’attaquant. Des demandes frauduleuses au nom d’une personne, de faux avis de dette ou des messages usurpant l’identité d’institutions officielles peuvent ainsi devenir plus convaincants.

Le deuxième groupe à risque comprend les personnes dont les données d’identité peuvent être recoupées avec d’autres jeux de données au moyen d’une adresse e-mail, d’un numéro de téléphone ou d’une adresse postale. Même si les champs d’adresse e-mail ou de téléphone de ce jeu de données ne sont pas retenus comme des catégories de données confirmées, un profil plus complet peut se constituer lorsque le nom et le numéro d’identification sont croisés avec d’autres fuites. Si vous utilisez des services financiers, demandez un crédit, disposez d’une ligne mobile ou bénéficiez de services publics, vous devez donc faire preuve de prudence. Par ailleurs, des messages envoyés au nom de membres de votre famille et portant sur des paiements, des dettes, des colis, la santé ou des notifications officielles peuvent aussi s’appuyer sur des données d’identité pour paraître fiables.

La première mesure consiste à examiner avec davantage de vigilance les messages inattendus qui contiennent des numéros d’identification et des informations personnelles. N’accordez pas d’emblée votre confiance aux messages portant sur le crédit, les dettes, les paiements, les aides publiques, les impôts, les banques, les lignes téléphoniques ou les documents officiels. Le seul fait que le nom, la date de naissance ou le numéro d’identification figurant dans un message soit correct ne prouve pas sa fiabilité. Vérifiez les demandes formulées au nom d’établissements financiers, d’opérateurs de télécommunications ou d’organismes publics par un canal distinct, en passant par leur site officiel ou un centre d’appels dont l’authenticité a été vérifiée.

La deuxième mesure consiste à surveiller régulièrement vos activités financières et administratives. Suivez les demandes de crédit, les notifications bancaires, les opérations sur les lignes téléphoniques et les alertes des institutions officielles. Si vous constatez une demande ou une opération suspecte, contactez rapidement l’organisme concerné et, si possible, engagez une procédure officielle de contestation. Ne communiquez pas par téléphone des informations telles que votre numéro d’identification, votre date de naissance ou des renseignements sur votre famille. Renforcez également la sécurité de vos comptes de messagerie et de vos lignes mobiles, et activez l’authentification multifacteur sur les comptes essentiels qui la prennent en charge.

Face à ce type de fuite de données d’identité, une stratégie à long terme ne se limite pas au changement des mots de passe. Examinez régulièrement vos opérations financières, vos demandes de crédit et vos procédures de vérification d’identité. Utilisez des mots de passe robustes, l’authentification multifacteur et les notifications d’opérations sur vos comptes bancaires et auprès de vos opérateurs de télécommunications. Évitez de choisir des informations immuables, comme les numéros d’identification ou les dates de naissance, comme éléments de sécurité dans les questions de récupération de compte. Lorsque c’est possible, utilisez des mots de passe supplémentaires, des clés de sécurité ou une authentification par application.

Pour les organismes, la leçon est plus claire : les jeux de données contenant des informations d’identité doivent être protégés selon le principe de limitation des accès au strict nécessaire, leur durée de conservation doit être réduite et les copies inutiles doivent être supprimées. Dans les relations avec les prestataires et les intermédiaires de données, des audits réguliers doivent permettre de déterminer quelles informations sont stockées, où, pendant combien de temps et qui y a accédé. De votre côté, interrogez-vous sur le partage de données avec chaque nouveau service qui demande vos informations personnelles, évitez de remplir les champs inutiles et maintenez les notifications activées chaque fois que possible. La réduction des risques liés aux données d’identité permanentes exige une attention constante et une surveillance régulière.

La vérification de la fuite Serasa Experian au Brésil en 2020 sur LeakData vous aide à savoir si vos informations sont liées à cette fuite de données. Si le résultat est positif, commencez par surveiller plus fréquemment les opérations financières et les démarches administratives associées à votre numéro d’identification. Ne cliquez pas sur les liens contenus dans des messages inattendus concernant le crédit, les dettes, les lignes téléphoniques, les impôts, les livraisons ou les services d’eau, de gaz et d’électricité; vérifiez la demande par un canal distinct et fiable. Ne communiquez pas vos informations personnelles par téléphone ou dans des messages. Utilisez des mots de passe robustes et l’authentification multifacteur sur vos comptes bancaires, de messagerie et de téléphonie mobile.

Comme cette fuite ne concernait pas de mot de passe, le simple fait de changer votre mot de passe ne constitue pas une réponse suffisante. Le principal risque est que les données d’identité puissent être utilisées durablement pour des fraudes et des attaques d’ingénierie sociale. Des informations comme le nom, la date de naissance, le genre et le numéro d’identification peuvent servir à des demandes frauduleuses ou à des tentatives d’usurpation d’identité, même des années plus tard. Maintenir les notifications financières activées, signaler rapidement les opérations suspectes, rester prudent face aux messages usurpant l’identité d’institutions officielles et limiter le partage de données personnelles sont donc les fondements d’une protection à long terme.