Une fuite de données peut avoir des conséquences bien plus graves que le simple vol d’informations. Même si aucune donnée sensible, telle que des mots de passe, n’est concernée, les cybercriminels peuvent exploiter les informations dérobées pour mener des attaques de hameçonnage ciblées. Ce cas récent montre que les données clients volées peuvent fournir un contexte crédible pour des tentatives de fraude. Les entreprises doivent donc non seulement protéger leur propre infrastructure, mais aussi celle de leurs partenaires. La minimisation des données et des exigences de sécurité claires sont essentielles.
En cas de fuite de données, on s’intéresse d’abord aux informations qui ont été volées
Si aucun mot de passe, aucune donnée de carte bancaire ni aucune autre information particulièrement sensible n’est concerné, le préjudice semble rapidement gérable. Le cas actuel concernant les acheteurs de produits Steam montre toutefois pourquoi cette estimation peut s’avérer insuffisante. D’après les informations disponibles à ce jour, ce n’est pas Valve qui a été attaquée, mais un prestataire logistique. Des noms, des coordonnées, des adresses de livraison et des informations sur le matériel commandé auraient notamment été divulgués. Ces données ne permettent pas un accès direct aux comptes Steam. Elles peuvent toutefois fournir autre chose aux cybercriminels : un contexte crédible pour la prochaine attaque.
Quand un e-mail de hameçonnage correspond soudainement à la situation
Un message quelconque concernant un colis prétendument non livré risque de rendre de nombreux destinataires méfiants. La réaction peut toutefois être différente si une commande est effectivement en cours d’acheminement et que le message contient des détails correspondants. Si un pirate connaît par exemple le nom du client, son adresse et le matériel Steam commandé, il peut adapter sa tentative de fraude en conséquence. Un prétendu message faisant état de problèmes de livraison semble alors plausible, car plusieurs informations qu’il contient sont effectivement exactes. C’est précisément ce qui rend les données clients volées intéressantes pour les criminels. Elles ne doivent pas nécessairement leur permettre d’accéder directement à un compte. Elles peuvent en revanche servir à gagner la confiance de la victime. Celui qui croit que le message est authentique risque de cliquer sur un lien et de saisir un mot de passe ou des données de paiement sur un site web falsifié. Dans ce scénario, les informations particulièrement sensibles ne sont donc pas volées lors de la première attaque. Les malfaiteurs ne se les procurent qu’ensuite, à l’aide des données précédemment dérobées.
L’IA facilite les attaques visant des destinataires individuels
Les tentatives de fraude personnalisées ne sont pas un phénomène nouveau. L’IA générative permet toutefois d’en créer un grand nombre avec nettement moins d’efforts. Les ensembles de données volés peuvent être analysés automatiquement et adaptés à différents destinataires. En fonction du lieu de résidence, il est par exemple possible d’utiliser la langue appropriée et d’intégrer dans le message un service de livraison courant dans cette région. Les formulations peuvent également s’inspirer de véritables avis de livraison. Les cybercriminels n’ont ainsi plus besoin d’adapter manuellement des milliers de messages. Parallèlement, les indices qui indiquaient autrefois souvent un hameçonnage deviennent moins fiables. Il n’est plus nécessaire d’utiliser une langue incorrecte ou des textes standard manifestement inadaptés lorsque les messages individuels peuvent être générés automatiquement. Un seul enregistrement de données volé peut ainsi donner lieu à des attaques ciblées en chaîne, qui sont beaucoup plus difficiles à identifier comme des tentatives de fraude pour le destinataire concerné.
L’affaire Steam est également un problème lié à la chaîne d’approvisionnement
À cela s’ajoute un deuxième aspect : les entreprises peuvent perdre des données clients même si leurs propres systèmes n’ont pas été compromis. En effet, de nombreux processus métier ne fonctionnent que si des informations sont transmises à des prestataires externes. Cela ne concerne pas uniquement les entreprises de logistique. Les services cloud, les prestataires de paiement, les systèmes CRM, les prestataires d’assistance ou les prestataires de paie traitent également des données pour le compte d’autres entreprises. Si l’un de ces partenaires est victime d’une attaque réussie, les informations de nombreux clients ou employés peuvent donc être compromises. En matière de sécurité de l’information, la question ne se limite donc pas à savoir dans quelle mesure l’infrastructure propre à l’entreprise est protégée. Il est tout aussi important de déterminer quels organismes externes reçoivent des données et quel risque cela engendre.
Moins de données stockées signifie moins de surface d’attaque
Les entreprises doivent donc recenser précisément quels prestataires traitent quelles informations. Il convient de vérifier si toutes les données transmises sont nécessaires à la finalité visée et pendant combien de temps elles sont conservées. De plus, les exigences de sécurité et les procédures à suivre en cas d’incident doivent être clairement définies. La minimisation des données joue ici un rôle central. Ce dont un prestataire n’a pas besoin et ne reçoit donc pas ne peut pas non plus être dérobé en cas d’attaque contre ses systèmes. Il en va de même pour les informations qui ont été supprimées à l’expiration du délai de conservation requis. L’affaire Steam met ainsi en évidence un danger souvent sous-estimé lors de l’évaluation des fuites de données. Ce qui importe, ce n’est pas seulement ce que les criminels peuvent faire immédiatement avec les informations volées. Il faut également tenir compte de la prochaine attaque que ces données pourraient permettre. Un incident de sécurité apparemment limité peut ainsi devenir le premier maillon d’une chaîne d’attaques nettement plus longue.
