Disons qu'avec le procès SFAM INDEXIA on le sait maintenant : il suffit d'avoir des clés ICS et les IBAN pour initier un prélèvement SEPA sans le consentement du titulaire. Même après une révocation de mandat. Le mandat est purement décoratif et n'intervient pas dans le processus informatique du prélèvement. Suivit d'une fuite avec un virement dans un pays tiers et c'est finito.

https://www.banque-france.fr/fr/a-votre-service/banques-assurances-prestataires-fiduciaires/referentiel-des-identifiants-creanciers-sepa-ics

pas complètement :
-il y a quand meme un certain délai pour que le virement soit effectué ; il y a également que toutes les banques n'autorisent pas par défaut les virements vers l'étranger ; exemple avec une connaissance qui n'a pas pu faire de virement à son compagnon allemand, dans sa banque allemande : la banque postale refusait sans appel au support téléphonique préalable.
-une certaine partie de la population reste "sensibilisée" aux arnaques du faux conseiller bancaire. En dehors de cela, le seul risque : utiliser ses données pour un faux contrat, comme par ex le plus souvent crédit à la conso ; or, la fuite du RIB n'implique pas d'avoir un dossier complètement rempli : je doute que chaque abonné ait transmis sa CNI à son opérateur lors de la commande. Et d'autres documents, entre autres (attestation domicile de moins de 3 mois etc)

donc pour une personne présente dans les fichiers et un minimum avertie, sensibilisée et précautionneuse, le risque n'est pas nul, mais vraiment pas loin. Savoir envoyer sur les roses un faux conseiller bancaire (sur d'autres forums, certains ont vécu l'expérience) permet déjà de virer 99% des risques associés à la fuite de données.

Bonjour,

Effectivement aucune société quelque soit sa taille, aucun particulier quelque soit  l'attention apportée aux problèmes de sécurité n'est à l'abri d'un piratage.

Il y a quelques années, j'ai eu l'occasion de travailler pour une grande société qui a eu plusieurs fuites de données. Sa politique de sécurité informatique a changé complètement sans éliminer tout risque. Mais ces risques ont été beaucoup mieux gérés sur tous les aspects (fréquence et importance des fuites, réactivité, communication).

Ce que j'ai retenu :

* il est dangereux de minimiser le problème : "ca  arrive à tout le monde", "bah, une bonne part de ces données a déjà fuitée" , "on ne peut pas éviter toutes les fuites, ca coute beaucoup trop cher".

* une culture de la sécurité impulsée au plus haut niveau permet de diminuer considérablement le risque de fuite. L'équipe dirigeante s'est rapidement mobilisée : Ces dirigeants risquaient leur poste ...

* cette culture de sécurité n'est pas que technique mais aussi agit sur certains comportements aux quotidiens impactant les relations avec son environnement (équipe, partenaire, sous-traitants ...)

* cela prend du temps pour que cette culture de la sécurité diffuse parmi l'ensemble du personnel et cela nécessite un investissement durable et non négociable. C'est tout à fait antinomique avec une politique de type "low cost", en tout cas sur cet aspect. Mais faire l'impasse sur cette question de sécurité peut avoir des conséquences catastrophiques allant jusqu'à la fermeture de la société. C'est arrivée pour des PME/TPE, je n'en ai pas connaissance pour des grands groupes pour le moment.

* Cette politique de sécurité doit porter tout particulièrement sur  certains domaines à risques :  sous-traitance, emploi d'intérimaires, départs (parfois "à risque"), données bancaires.  Souvent pour des raisons opérationnelles, des données sont échangées avec des sous traitants y compris à l'étranger et parfois hors zone européenne (ce qui me scandalise a titre personnel). Tous les contrats ont été modifiés pour prendre en compte ce risque de fuite de données et la rupture de contrat, y compris très brutale, pour prise en compte insuffisante des mesures de sécurité n'était absolument pas un risque théorique.

* des analyses "post mortem" en cas d'incidents graves sont devenus quasi systématiques ....naturellement pour des raisons de sécurité évidentes pratiquement jamais rendu public ou sous une forme très édulcorée.

Concernant les opérateurs de télécommunications, les hackers sont très friants des données de ces entreprises :

- parfois par pur plaisir et challenge : "Super, on est très fort : on a réussi à entrer dans le SI de tel opérateur" alors que ces sociétés sont censées être très compétentes et avoir tous les spécialistes pointus de sécurité

- mais surtout par intérêt car ces opérateurs gèrent des bases de millions de clients avec plein de de données intéressantes.

- et sans oublier que les opérateurs sont des Services d'Importance Vitale, dont la déstabilisation peut intéresser des pays pas très amicaux.

Les opérateurs sont dans une situation de concurrence  très forte avec une tentation  de diminuer tous les coûts y compris sur la sécurité ce qui est très dangereux à terme.

J'ignore totalement la position et la politique de Free sur ces questions sécuritaires. Mais le risque d'image est sévère et je ne pense pas que Free fasse éternellement l'impasse sur une communication forte sur le sujet. Une déclaration à la CNIL et un message à ses clients est le strict minimum et n'est que le respect de ses obligations légales.

Les opérateurs ont au moins un avantage. Chacun a trop peur d'avoir un grave problème, un jour, de fuite de données et par conséquent malgré le poids concurrentiel, ils font preuve d'un minimum de solidarité, de compréhension  entre eux et s'abstiennent en général de trop de critiques ouvertes envers un concurrent en difficulté.

Cordialement.

Je viens de recevoir un mail de Free confirmant la cyberattaque ciblant un outil de gestion.

J'ai fini par avoir des mails concernant Freemobile.

Malheureusement, ce qui est sorti est sorti. Par contre il faut tout faire pour éviter que ça ne se reproduise. Par contre le fait que ça se produise 6 mois après une précédente fuite est inquiétant quand a la prise en compte des risques...

Le fait que les banques acceptent trop facilement les demandes de prélèvement est un soucis.

Moi je connaissais plutôt l'adage "aucun DSI n'a été viré pour avoir choisi Cisco", le leader dans le réseau depuis des décennies.

Le hacker n’est pas content du mail de Free et le fait savoir.

Il dit que Free minimise la fuite, donc il met gratuitement à disposition 100 000 IBAN avec un message bien distinctif !

https://twitter.com/tiinox83/status/1850469966341923227?s=61&t=hnLOB5zlrHbd0w8AIWYW_A

Ça prend une tournure personnelle de la part du hacker non ?