La fuite de données de London Hydro expose les informations des clients
Un service public d’électricité canadien a reconnu une fuite de données de l’entreprise de services publics qui pourrait avoir compromis les noms, adresses et informations de compte des clients, mais l’entreprise a offert peu de clarté sur la manière dont l’intrusion s’est produite, le nombre de personnes touchées ou la durée pendant laquelle les attaquants ont pu avoir accès. London Hydro, qui dessert la ville de London, en Ontario, a confirmé l’incident tout en laissant plusieurs questions cruciales sans réponse, ce qui soulève des préoccupations quant aux normes de transparence lorsque des fournisseurs de services essentiels manipulent des données personnelles sensibles.
Pourquoi les entreprises de services publics sont des cibles faciles pour les cybercriminels
Les entreprises de services publics occupent une position inconfortable dans l’univers de la cybersécurité. Elles détiennent de grandes quantités de données personnelles et financières sur des clients qui n’ont d’autre choix pratique que de faire affaire avec elles. Contrairement à une application de vente au détail ou à un service de diffusion en continu, les clients ne peuvent pas simplement supprimer leur compte et quitter leur fournisseur d’électricité local.
Cette relation captive crée un environnement riche en données que les attaquants trouvent attrayant. Les services publics recueillent les adresses personnelles, l’historique de facturation, les détails de paiement et, dans certains cas, les habitudes de consommation qui peuvent révéler si une propriété est occupée. Cette combinaison de renseignements personnels identifiables et de données comportementales est précieuse pour la fraude, l’ingénierie sociale et le vol d’identité.
Les exigences opérationnelles nuisent également à une posture de sécurité solide. De nombreux réseaux de services publics s’appuient sur une infrastructure héritée qui n’a jamais été conçue en tenant compte de la cybersécurité moderne. La mise à jour des systèmes ou la mise hors ligne de l’infrastructure pour des mises à jour de sécurité peut entrer directement en conflit avec l’obligation de maintenir le courant. Il en résulte un secteur qui transporte une charge utile de données de grande valeur tout en accusant parfois un retard sur le plan des contrôles de sécurité que d’autres secteurs ont normalisés.
Le problème n’est pas propre à London Hydro. Dans un exemple canadien notable, Nova Scotia Power a subi une fuite qui a exposé les données personnelles d’environ 915 000 clients actuels et anciens après qu’un seul employé a interagi avec une fenêtre contextuelle malveillante. Cet incident montre comment un point de défaillance unique au sein d’une grande organisation de services publics peut se transformer en un événement majeur de violation de la vie privée touchant près d’un million de personnes.
Ce que London Hydro a divulgué et n’a pas divulgué au sujet de la fuite
La déclaration publique de London Hydro a confirmé que les noms, les adresses personnelles et les détails de compte pourraient avoir été exposés au cours de l’intrusion. Au-delà de cela, la divulgation est mince. L’entreprise n’a pas confirmé le vecteur d’attaque, ce qui signifie qu’elle n’a pas dit si la fuite impliquait du hameçonnage, une vulnérabilité dans les systèmes exposés à l’extérieur, un rançongiciel ou une toute autre méthode.
La période de l’intrusion demeure également floue. Les clients n’ont pas été informés du moment où la fuite a commencé, du moment où elle a été découverte, ni de l’intervalle entre ces deux événements. Cette fenêtre est importante, car elle détermine combien de temps les attaquants ont eu pour recueillir, copier ou utiliser de façon malveillante ce à quoi ils ont eu accès.
L’absence de ces détails est frustrante pour les clients qui tentent d’évaluer leur risque personnel, et elle reflète un schéma plus large dans les divulgations de fuites touchant les services publics. Les organismes de réglementation au Canada exigent la notification des atteintes à la vie privée qui présentent un risque réel de préjudice grave en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), mais la loi fixe un seuil minimal de divulgation, et non un plafond. Les entreprises peuvent techniquement s’y conformer tout en retenant des détails qui aideraient les personnes concernées à prendre des décisions éclairées.
Qui est concerné et quelles données peuvent être à risque
London Hydro dessert des clients résidentiels et commerciaux dans toute la ville de London, en Ontario. Bien que l’entreprise n’ait pas publié de nombre précis de comptes touchés, toute fuite impliquant des noms, adresses et détails de compte crée une exposition significative pour les personnes figurant dans cette base de données.
La combinaison d’une adresse personnelle et d’un numéro de compte est plus dangereuse que chaque élément pris isolément. Les fraudeurs peuvent utiliser les détails du compte pour usurper l’identité des clients lorsqu’ils contactent le service public, ce qui peut leur permettre de rediriger les communications de facturation ou de créer des demandes de service frauduleuses. Les adresses personnelles, associées aux noms, peuvent être croisées avec d’autres ensembles de données compromises pour constituer des profils plus complets, propices au hameçonnage ciblé ou à la fraude physique.
Si des informations de paiement étaient incluses dans les données exposées, le risque s’aggraverait encore. Au moment de la rédaction, London Hydro n’avait pas confirmé si des détails financiers, tels que des coordonnées bancaires ou des numéros de carte de crédit, faisaient partie de l’exposition, ce qui constitue en soi une lacune importante dans la divulgation.
Comment se protéger lorsque votre fournisseur de services publics est victime d’une fuite
Lorsqu’une fuite de données touche une entreprise de services publics, les clients disposent d’un levier limité, mais de plusieurs options pratiques pour réduire les préjudices en aval.
Vérifiez vos comptes pour détecter toute activité inhabituelle. Connectez-vous à votre compte London Hydro et examinez les relevés de facturation récents ainsi que les coordonnées. Si votre adresse ou vos informations de contact ont été modifiées à votre insu, signalez-le immédiatement au service public.
Placez une alerte à la fraude ou un gel de crédit. Au Canada, vous pouvez contacter Equifax Canada ou TransUnion Canada pour placer une alerte à la fraude sur votre dossier de crédit. Le gel de crédit va plus loin en restreignant les nouvelles demandes de crédit jusqu’à ce que vous le leviez. Ni l’un ni l’autre ne coûte d’argent, et les deux peuvent empêcher les voleurs d’identité d’ouvrir de nouveaux comptes à votre nom.
Surveillez les tentatives d’hameçonnage subséquentes. Les données compromises se retrouvent souvent entre les mains d’opérateurs d’hameçonnage qui rédigent des messages convaincants se faisant passer pour le service public lui-même. Soyez sceptique face à tout courriel, message texte ou appel téléphonique prétendant provenir de London Hydro et vous demandant de confirmer vos détails de compte ou de cliquer sur un lien.
Utilisez une adresse courriel unique pour vos comptes de services publics. Si vous utilisez la même adresse courriel pour plusieurs services, une fuite chez un fournisseur peut vous rendre plus vulnérable ailleurs. Dans la mesure du possible, utilisez une adresse courriel dédiée à vos comptes de services publics afin que les attaques par bourrage d’identifiants aient moins de surface à exploiter.
Surveillez régulièrement votre dossier de crédit. Les deux principaux bureaux de crédit canadiens permettent un accès gratuit à votre dossier de crédit. Le consulter périodiquement vous aide à détecter les signes de fraude d’identité rapidement, lorsqu’il est plus facile d’y remédier.
La fuite de London Hydro nous rappelle que les organisations qui détiennent nos données personnelles les plus essentielles ne sont pas toujours les plus promptes à communiquer lorsque les choses tournent mal. Les clients méritent des divulgations plus claires, des échéanciers plus rapides et des renseignements plus exploitables lorsque leurs données sont à risque. Jusqu’à ce que les normes réglementaires rattrapent cette attente, le fardeau de la protection repose de manière disproportionnée sur les personnes touchées. Prendre ne serait-ce que quelques-unes des mesures ci-dessus peut réduire de façon significative la fenêtre d’opportunité pour quiconque aurait pu accéder à vos informations.
