Une unité de tenue de dossiers du département de la Défense a commencé à alerter des millions de militaires et de membres du personnel en service ou à la retraite que leurs données personnelles ont été volées. Les notifications de la violation de données au Pentagone concernant 3 millions de personnes surviennent après une intrusion qui aurait duré environ 10 mois, et elles soulèvent de sérieuses questions sur la durée pendant laquelle des dossiers gouvernementaux sensibles peuvent rester exposés avant que quiconque ne s'en aperçoive.
Cet article passe en revue ce qui a été rapporté, pourquoi la durée de la violation est importante et ce que les personnes concernées peuvent faire dès maintenant.
Ce que disent les notifications de la violation de données au Pentagone concernant 3 millions de personnes
Selon le rapport source, une unité de tenue de dossiers du département de la Défense a informé des millions de militaires et de membres du personnel en service ou à la retraite que leurs données avaient été volées. D'autres articles identifient cette unité comme étant le Defense Manpower Data Center (DMDC), qui notifie les personnes dont les dossiers ont été affectés.
Les détails publics restent limités. L'article source est bref et ne constitue pas un compte rendu technique complet. Les articles diffèrent légèrement sur la durée de l'accès non autorisé : le titre cite 10 mois, tandis que d'autres médias évoquent environ neuf mois. Nous n'avons pas vu de décomposition technique officielle qui permette de trancher sur la fenêtre exacte, il convient donc de considérer la durée comme approximative jusqu'à ce que le Pentagone en dise davantage.
Ce qui est constant dans les rapports, c'est qu'il ne s'agissait pas d'un incident de courte durée. L'accès non autorisé a persisté pendant de nombreux mois avant que les notifications ne soient envoyées.
Qui a été affecté et quelles données ont été exposées
Des rapports citant un responsable de la défense américaine indiquent que la violation a touché environ 2,76 millions de personnes vivantes et environ 294 000 personnes décédées, ce qui explique le chiffre de « 3 millions ». Les personnes affectées comprennent des militaires et des membres du personnel en service ou à la retraite.
Les informations exposées ont été décrites comme comprenant des numéros de sécurité sociale, des dates de naissance et des données liées à l'emploi. Nous avons précédemment couvert la manière dont la violation de la DMDC a exposé les numéros de sécurité sociale de 3,1 millions de personnes et les mesures à prendre, et des rapports antérieurs estimaient le nombre possible plus élevé. Les chiffres ont varié d'un média à l'autre, il faut donc s'attendre à ce qu'ils soient affinés au fur et à mesure de l'enquête.
La mention des personnes décédées mérite d'être soulignée. Les identités volées de personnes décédées restent utiles aux fraudeurs, et les familles ou les successions peuvent avoir besoin de surveiller les usages abusifs même lorsque la personne ne peut plus vérifier ses propres comptes.
Pourquoi une fenêtre de 10 mois augmente le risque d'usurpation d'identité
Une longue période d'exposition modifie le risque de plusieurs manières concrètes.
Les données volées peuvent déjà être utilisées. Si les attaquants ont eu accès pendant la majeure partie d'une année, les données ont pu être copiées, triées, vendues ou réutilisées bien avant l'arrivée des lettres de notification. Recevoir un avis ne signifie pas que le danger ne fait que commencer ; cela peut signifier qu'il se développe depuis un certain temps.
Les numéros de sécurité sociale n'expirent pas. Contrairement à un mot de passe, un numéro de sécurité sociale ne peut pas être réinitialisé. Combiné à la date de naissance et aux détails professionnels, il donne aux criminels l'essentiel de ce dont ils ont besoin pour tenter une fraude à l'ouverture de compte, une fraude fiscale ou une usurpation convaincante. C'est pourquoi le risque dure des années plutôt que des semaines.
Les lacunes de détection sont un schéma à surveiller. D'autres articles que nous avons couverts décrivent des mois d'accès non détecté et des dossiers non chiffrés en lien avec des systèmes de personnel du Pentagone. Ces récits diffèrent par leurs chiffres et leurs détails, les lecteurs ne doivent donc pas supposer qu'ils décrivent des faits identiques. Néanmoins, le fil conducteur commun est un long délai entre l'intrusion et la découverte, ce qui constitue une leçon centrale pour toute organisation détenant des données de personnel.
Cela montre aussi une limite des outils grand public. Un VPN chiffre votre propre trafic internet, mais il ne protège en rien les dossiers stockés sur un serveur gouvernemental ou d'entreprise. Lorsque la violation se produit au niveau de l'institution, vos défenses doivent se concentrer sur la limitation de l'usage qui peut être fait des données volées.
Ce que cela signifie pour vous
Si vous êtes un militaire en service ou à la retraite, un employé civil ou un membre de la famille de quelqu'un qui a servi, partez du principe que vos informations peuvent être concernées jusqu'à preuve du contraire. Surveillez une notification officielle et soyez prudent quant à la manière de la vérifier. Les escrocs envoient souvent de fausses notifications de violation qui demandent un paiement ou des informations personnelles, alors ne cliquez pas sur les liens dans les e-mails ou SMS inattendus qui prétendent concerner cet incident.
Si vous ne recevez pas de notification, cela ne prouve pas que vous n'êtes pas concerné. Vérifiez auprès des canaux officiels du département de la Défense plutôt que sur des sites tiers qui demandent votre numéro de sécurité sociale.
Pour les personnes non liées au milieu militaire, la leçon est plus large : les grandes institutions peuvent conserver vos données pendant des années, et vous contrôlez rarement la qualité de leur protection. Réduire ce qui peut être fait avec ces données est la réponse la plus fiable.
Mesures à prendre dès maintenant par le personnel concerné
- Gelez votre crédit auprès des trois principaux bureaux de crédit. Un gel est généralement gratuit et bloque la plupart des tentatives d'ouverture de nouveaux comptes en votre nom. Vous pouvez le lever temporairement lorsque vous avez besoin de demander un crédit.
- Placez des alertes de fraude ou inscrivez-vous à toute surveillance proposée dans votre lettre de notification. Lisez attentivement l'offre et n'utilisez que les instructions d'inscription figurant dans l'avis officiel.
- Examinez régulièrement vos rapports de crédit pour repérer des comptes ou des demandes que vous ne reconnaissez pas.
- Utilisez des mots de passe uniques et l'authentification multifacteur sur vos comptes financiers, de messagerie et gouvernementaux, car les attaquants associent souvent les données personnelles divulguées à des tentatives d'hameçonnage.
- Soyez sceptique face aux contacts non sollicités. Quiconque cite votre historique de service, votre date de naissance ou votre numéro de sécurité sociale n'est pas automatiquement légitime.
- Envisagez un code PIN de protection d'identité de l'IRS si vous craignez une fraude fiscale, et vérifiez les comptes de vos proches décédés si leurs informations peuvent être concernées.
L'essentiel à retenir
Les notifications de la violation de données au Pentagone concernant 3 millions de personnes rappellent que les dommages réels d'une violation dépendent souvent de la rapidité avec laquelle les individus réagissent. Vous ne pouvez pas changer un numéro de sécurité sociale volé, mais vous pouvez le rendre bien moins utile aux criminels.
Pour les prochaines étapes, lisez notre guide sur ce qu'il faut faire après la violation de données du Pentagone liée à 3 millions de personnes, vérifiez votre statut de notification via les canaux officiels et gelez votre crédit dès aujourd'hui.
