Violation de données chez Odido : 6,2 millions de dossiers exposés
Une action en justice collective a été déposée contre l'opérateur télécom néerlandais Odido après qu'une violation de données a exposé les informations personnelles de 6,2 millions de personnes. Les dossiers volés comprennent des numéros de compte bancaire (IBAN), des adresses personnelles et des numéros de documents d'identité, qui auraient tous été publiés sur le dark web après qu'Odido a refusé de payer une rançon. Cette affaire soulève de sérieuses questions sur la durée pendant laquelle les entreprises conservent vos données, et sur ce qui se passe lorsque ces données tombent entre de mauvaises mains.
Quelles données ont été dérobées et pourquoi cela est important
Toutes les violations de données ne comportent pas le même niveau de risque. Une adresse e-mail divulguée est une source de désagrément. Des IBAN, des adresses physiques et des numéros de documents d'identité officiels divulgués, c'est une tout autre affaire.
Avec cette combinaison d'informations, des criminels peuvent tenter de commettre des fraudes bancaires, ouvrir des lignes de crédit au nom d'une autre personne, se livrer à l'usurpation d'identité, ou cibler des individus pour des arnaques physiques et du harcèlement. Le fait que ces données aient été publiées ouvertement sur le dark web aggrave le problème : elles ne sont plus entre les mains d'un seul attaquant, mais potentiellement accessibles à quiconque est disposé à les chercher.
Pour les 6,2 millions de personnes concernées, le risque n'a pas de date d'expiration. Une fois que des données sensibles circulent sur les marchés criminels, elles peuvent être exploitées des semaines, des mois, voire des années après la violation initiale.
Les allégations de négligence au cœur du procès
Le collectif de groupes de défense de la vie privée à l'origine de cette action en justice ne soutient pas simplement qu'Odido a eu de la malchance. La plainte allègue que l'entreprise a été négligente sur deux points : le stockage de données personnelles excessives pendant une durée supérieure au nécessaire, et le fait d'avoir ignoré des avertissements de sécurité préalables.
Ces allégations sont significatives car elles témoignent d'une défaillance systémique plutôt que d'un incident isolé. En vertu du Règlement général sur la protection des données (RGPD), les entreprises opérant dans l'Union européenne sont légalement tenues de respecter le principe de minimisation des données. Cela signifie ne collecter que ce qui est nécessaire, ne le conserver que le temps voulu, et le supprimer lorsque cette finalité expire.
Si les allégations se confirment, Odido conservait peut-être des données pour lesquelles elle n'avait aucune raison légitime. Ce n'est pas uniquement un problème de conformité. Cela augmente directement les dommages potentiels de toute violation qui survient. Plus une entreprise accumule de données, plus elle devient une cible importante et plus les préjudices sont graves lorsque la sécurité est mise en défaut.
Ce que cela signifie pour vous
Même si vous n'êtes pas client d'Odido, cette affaire rappelle utilement à quel point la plupart des gens ont peu de contrôle sur leurs données personnelles une fois qu'elles ont été confiées à un prestataire de services.
Il existe des mesures pratiques que vous pouvez prendre pour réduire votre exposition :
Vérifiez si vos données ont été compromises. Des services qui agrègent les données de violations connues vous permettent de rechercher votre adresse e-mail et de découvrir si vos identifiants sont apparus dans des fuites publiquement connues. Si vos informations faisaient partie de la violation Odido, vous devriez surveiller attentivement vos comptes bancaires et envisager de placer une alerte à la fraude auprès de votre banque.
Soyez sélectif quant à ce que vous partagez. Lors de l'inscription à des services, demandez-vous si chaque champ est véritablement obligatoire. De nombreuses entreprises demandent plus de données qu'elles n'en ont besoin lors de l'inscription. Fournir un minimum d'informations d'identification réduit les dommages si cette entreprise est ensuite victime d'une violation.
Connaissez vos droits en vertu du RGPD. Si vous résidez dans l'UE ou avez utilisé des services fournis par des entreprises établies dans l'UE, vous avez le droit de demander l'accès à vos données, de solliciter des corrections et, dans certains cas, d'en demander la suppression. Ces droits existent précisément pour des situations comme celle-ci.
Utilisez un VPN sur les réseaux publics et non fiables. Un VPN ne préviendra pas la violation d'une entreprise, mais il protège les données que vous transmettez. Sur un Wi-Fi public, les connexions non chiffrées peuvent être interceptées, ce qui constitue une autre façon dont les données personnelles se retrouvent exposées. Chiffrer votre trafic ajoute une couche de protection pour les données que vous partagez activement.
Utilisez des mots de passe forts et uniques, et activez l'authentification à deux facteurs. Lorsque les données violées comprennent des adresses e-mail et des mots de passe, les attaquants tentent souvent d'utiliser ces identifiants sur plusieurs services. Des mots de passe uniques et l'authentification à deux facteurs brisent cette chaîne.
La situation dans son ensemble : les entreprises doivent être tenues responsables
L'affaire Odido s'inscrit dans un schéma plus large. Les opérateurs télécom et les grandes entreprises de services détiennent d'immenses quantités de données personnelles sensibles, et leurs pratiques de sécurité ne sont pas toujours à la hauteur de ce qu'elles ont pour mission de protéger.
Les actions en justice collectives comme celle-ci constituent un mécanisme pour imposer la responsabilité. Lorsque la responsabilité financière est associée à une gestion négligente des données, les entreprises ont une incitation plus forte à investir dans la sécurité, à réduire la conservation inutile de données et à agir face aux avertissements avant qu'une violation ne survienne plutôt qu'après.
Pour les consommateurs, la conclusion est simple : vous ne pouvez pas contrôler entièrement ce que les entreprises font de vos données, mais vous pouvez limiter ce que vous partagez, connaître vos droits et prendre des mesures pour vous protéger lorsque ces entreprises sont défaillantes. Rester informé des violations qui vous concernent n'est pas de la paranoïa. C'est une réponse raisonnable à la réalité de la façon dont les données personnelles sont traitées à grande échelle.
