La sécurité des données est devenue un enjeu majeur pour les entreprises et les particuliers. Les nombreuses cyberattaques et tentatives d’arnaques attestent ce constat. Notamment les attaques avec violation de données comme celle récemment subie par Bouygues Télécom. Ce qui est préoccupant, c’est la violation de données et notamment les IBAN des clients. On pourrait croire qu’un pirate ne peut rien faire avec des informations bancaires. Or c’est l’inverse : les pirates se frottent les mains connaissant le potentiel d’arnaque qu’ils pourront faire avec un IBAN. Cela va donc avoir des conséquences pour les victimes qu’elles soient physiques ou morales. Ce qui amène la sempiternelle question comment se protéger
L’IBAN une mine d’or pour les pirates
Certes, bien que possédant des IBAN, un cyberpirate ne peut pas vider le compte bancaire de son titulaire. Cependant, cette donnée lui donne l’opportunité de faire de nombreuses escroqueries. Voici quelques exemples :
Tout d’abord, un pirate peut monter une société fictive. Puis, il utilise de faux mandant SEPA pour faire des prélèvements sur le compte de ses victimes.
Ensuite, il peut usurper l’identité d’une personne physique à d’autres données (nom, adresse, e-mail, numéro de téléphone). Alors l’IBAN sert servir à créer un profil complet. Ainsi, le cyberpirate peut ouvrir des crédits ou souscrire à des services en ligne. Lorsque la victime s’en rend compte il est tard. Certes elle peut faire opposition.
Également, un fraudeur peut envoyer de fausses factures ou de faux e-mails en se faisant passer pour un fournisseur légitime. Il exige le règlement sur un compte qu’il contrôle. On se retrouve dans des situations similaires à l’arnaque au président. Le cyberpirate mettra de la pression notamment sur le timing : « Si vous ne payez pas maintenant, je coupe le service ».
Enfin, en connaissant l’IBAN, un pirate peut manipuler des systèmes de remboursement en ligne ou détourner des paiements.
Ainsi, on peut affirmer qu’un IBAN combiné à d’autres informations, devient une véritable clé pour de l’ingénierie sociale et les escroqueries financières. Quand de tels faits arrivent, cela a des impacts pour les personnes.
L’impact pour les entreprises
Pour les personnes physiques
S’agissant des personnes physiques, elles se retrouvent victimes de prélèvements « à l’insu de leur plein gré ».
En principe, face à ces arnaques, les banques remboursent les sommes volées. Elles estiment qu’il ne s’agit pas du propre fait de la victime. En revanche, les banques ont tendance à se prévaloir indirectement de la règle «Nemo auditur propriam turpitu». Ce qui signifie nul ne peut invoquer sa propre turpitude. Cela a pour conséquence qu’une personne physique ne sera pas remboursée. Surtout, si elle a consenti à une arnaque sans chercher à vérifier.
Pour les personnes morales
En revanche, lorsqu’une entreprise subit une violation de données impliquant des IBAN, les conséquences sont multiples. En effet, elle va perdre la confiance de ses clients qui, vont se poser des questions. Des sociétés comme Bouygues Télécom, Free, SFR, et bien d’autres ont probablement dû supporter des pertes de clients.
De plus, l’image de marque de l’entreprise va être altérée. Et ce n’est pas avec des opérations de communication que celle-ci va se refaire une santé. Il faudra du temps pour que l’organisation victime retrouve de la crédibilité.
En plus elle va s’exposer à des sanctions juridiques notamment une amende administrative. L’article 32 du RGPD impose aux responsables de traitement (à savoir les organisations représentées par leurs dirigeants) de mettre en place des moyens techniques et organisationnels pour protéger les données à caractère personnel qu’ils collectent et exploitent. En cas de violation de données, en vertu de l’article 33 du RGPD, ils ont 72H pour informer la CNIL (Commission Nationale Informatique et Liberté) des faits à compter de leur découverte. L’autorité administrative fera une enquête pour savoir si la sécurité des données a été négligée. Elle pourra sanctionner l’organisation d’une amende administrative.
Se pose alors la question, comment se protéger.
Comment se protéger ?
S’agissant des personnes physiques
Lors d’une réunion publique, j’ai pu constater que les personnes physiques et particulièrement les séniors sont sensibles à ces questions. Elles sont demandeuses de conseils et de sensibilisation. Une véritable politique de sensibilisation de la part des pouvoirs publics (ANSSI, Régions, Départements…) serait la bienvenue.
Néanmoins le premier conseil à donner c’est de surveiller son compte bancaire et ses affaires. En cas de doute, ne pas agir instantanément. Il est judicieux de se renseigner auprès des personnes aptes à répondre notamment le conseiller bancaire.
S’agissant des personnes morales
Face à ces risques, les entreprises doivent adopter une approche proactive. En premier lieu, sécuriser les systèmes d’information est un MUST (une obligation en français). Cela passe par les mises à jour régulières des logiciels et système d’informations.De plus, il convient de pseudonymiser les données, utiliser un gestionnaire de mot de passe. Également, la mise en place une politique de gouvernance dans laquelle seuls les employés utilisateurs peuvent consulter ou manipuler des IBAN.
De plus, la sensibilisation des collaborateurs est de plus en plus capitale. Cela signifie que les salariés ou bénévoles concernés (Il ne faut pas oublier les associations) doivent être formés aux cybermenaces (phishing, faux e-mails, arnaques au fournisseur). Il ne faut pas oublier que l’être humain est aujourd’hui le premier rempart face à une cyberattaque ou une arnaque.
Aussi, il est important de prévoir et mettre en place des procédures de détection et de réaction. Cela passe par la journalisation des accès, alertes en cas de comportement suspect. Sans oublier l’instauration d’un plan de continuité d’activité et plan de reprise d’activité.
Souscrire une cyber assurance peut être utile notamment en cas de violation des données impliquant une négligence humaine. Comme on l’a vu les banques peuvent être amenées à refuser de rembourser. Surtout si la violation est due à un acte délibéré bien qu’il soit involontaire. La cyber assurance prendra alors le relai. Si vous cherchez un cyber assureur, nous vous recommandons Bouclier Courtage.
Enfin et pas des moindres, respecter le RGPD. En cas de violation de données la CNIL regardera si l’organisation victime est en conformité. Actuellement 80% des organisations en France ne sont pas en règle au RGPD. Cela concerne aussi bien des TPE, des PME, des ETI, des collectivités territoriales et des professions règlementées (Notaires, comptables, avocats etc.). Respecter le RGPD est une marque de confiance et de respect envers ses clients, prospects et collaborateurs. De plus c’est une norme européenne dont on ne peut déroger. Toutes organisation se doit d’avoir différents registres pour démontrer sa conformité. Sans oublier de sécuriser l’ensemble du système dans lequel se trouve les données.
Pour conclure
Un IBAN volé n’est pas qu’une suite de chiffres. Comme nous l’avons démontré, c’est une ressource exploitable par les cybercriminels pour orchestrer des fraudes variées et coûteuses. Ainsi, la protection des données relève de la conformité réglementaire, de la mise en œuvre de mesures techniques et organisationnelles. Cela représente de véritables enjeux de sécurité économique et de confiance. On ne répètera jamais assez pour les entreprise : investir dans la cybersécurité et dans le respect du RGPD, sont des investissements pour la pérennité de leurs organisations. Pour les personnes physiques il est important de mettre en place des politiques locales de sensibilisation. Pour connaître les principes de base et avoir une hygiène numérique correcte. Tout cela contribue ainsi à limiter les risques de violations de données.
Avec SYSGUARD, nous vous accompagnons aussi bien pour sécuriser votre informatique et votre conformité aux différentes normes règlementaires dont le RGPD.
Foire aux questions
Un cybercriminel peut-il vider un compte bancaire avec un IBAN ?
Non, mais un IBAN permet de créer de faux mandats SEPA, d’usurper une identité et de mener des fraudes sophistiquées. Associé à d’autres données, il devient un outil puissant pour escroquer des victimes.
Quelles arnaques peut-on réaliser avec un IBAN volé ?
Un IBAN peut servir à prélever frauduleusement, ouvrir des crédits, envoyer de fausses factures, détourner des paiements ou manipuler des remboursements en ligne.
L’entreprise est-elle responsable en cas de fuite d’IBAN ?
Oui. Le RGPD impose des mesures de sécurité adaptées. En cas de négligence, la CNIL peut sanctionner l’organisation d’une amende administrative.
Comment se protéger d’un vol d’IBAN ?
Les particuliers doivent surveiller leurs comptes et rester vigilants. Les entreprises doivent sécuriser leurs systèmes, former leurs équipes, documenter leur conformité RGPD et mettre en place des dispositifs de détection.
Qui peut accompagner une organisation face aux risques de vol d’IBAN ?
Des experts en cybersécurité et en conformité RGPD, comme SYSGUARD, peuvent aider à sécuriser les données, mettre en place une gouvernance et réduire les risques juridiques et opérationnels.