Environ 5,34 millions de données personnelles ont été confirmées comme ayant fuité de 25 grandes entreprises et institutions en Corée du Sud au cours du mois d'octobre. Les fuites de données sud-coréennes d'octobre, rapportées par JKN, ont touché des services que les gens utilisent au quotidien : banques, banques d'épargne, universités, compagnies aériennes et chaînes de cafés. L'ampleur de l'incident rappelle utilement qu'une grande partie de vos données personnelles réside sur des serveurs que vous ne contrôlez pas, et que leur protection nécessite plus d'un seul outil.

Ce qui a fuité en octobre et qui a été touché

Selon le rapport, une série de violations s'est produite dans un large éventail de services du quotidien. Les secteurs concernés incluent des institutions financières telles que les banques et les banques d'épargne, des universités, des compagnies aériennes et des chaînes de cafés. Au total, environ 5,34 millions d'enregistrements ont été confirmés comme ayant fuité de 25 entreprises et institutions au cours du mois.

Le résumé de la source ne détaille pas quels champs de données spécifiques ont été exposés dans chaque organisation, il serait donc erroné de supposer que chaque victime a perdu les mêmes informations. Ce que le rapport établit clairement, c'est l'ampleur : il ne s'agissait pas d'un incident unique chez une seule entreprise, mais d'un schéma touchant de nombreux types d'organisations différents. Si vous utilisez des services en Corée du Sud, ou si vous avez un compte auprès d'une entreprise y opérant, il vaut la peine de vérifier si vous avez reçu une notification.

Pourquoi les services du quotidien continuent d'être victimes de violations

L'article lui-même se concentre sur les chiffres plutôt que sur les causes, nous devons donc veiller à ne pas attribuer ces incidents à une faille ou à un attaquant en particulier. Ce que l'on peut dire de manière générale, c'est que les organisations comme les banques, les écoles, les compagnies aériennes et les cafés collectent toutes des données personnelles telles que des noms, des coordonnées et des données de compte pour gérer des programmes de fidélité, des inscriptions, des réservations et des paiements. Chacune devient un point de stockage d'informations vous concernant.

C'est là le problème central : votre exposition dépend du maillon le plus faible parmi tous les services que vous utilisez. Vous pouvez avoir de bonnes habitudes et être tout de même affecté lorsqu'une organisation détenant vos données est compromise. Une entreprise plus petite ou moins évidente, comme une application de chaîne de cafés, peut détenir suffisamment d'informations pour être utile au hameçonnage ou à la fraude à l'identité.

Des expositions similaires touchent des individus dans différents contextes également. Notre couverture de la fuite de données de l'Église du Plein Évangile de Yoido, où un incident suspecté pourrait avoir exposé les informations d'environ 850 000 membres, montre comment des données personnelles peuvent fuiter d'organisations que l'on ne considère pas comme de gros détenteurs de données. La réglementation fait aussi partie du tableau ; notre analyse de l'Autorité indienne de protection des données illustre à quel point tout dépend des organes de surveillance censés tenir les détenteurs de données responsables.

Que faire si vos données ont été exposées

Si vous pensez être concerné, quelques étapes réduisent le risque de préjudice ultérieur :

  • Lisez attentivement toute notification. Les organisations qui confirment une violation expliquent généralement ce qui a été dérobé. Utilisez ces informations pour décider de l'urgence de votre réaction.
  • Changez les mots de passe du service concerné, et partout ailleurs où vous avez réutilisé le même. Utilisez un mot de passe unique pour chaque compte, idéalement stocké dans un gestionnaire de mots de passe.
  • Activez l'authentification à deux facteurs (2FA) partout où elle est proposée, de préférence avec une application d'authentification plutôt que par SMS.
  • Soyez sceptique face aux messages inattendus. Les noms, numéros de téléphone et adresses e-mail fuités alimentent le hameçonnage ciblé. Ne cliquez pas sur les liens dans les SMS ou e-mails prétendant venir de l'entreprise concernée ; rendez-vous directement sur l'application ou le site officiel.
  • Surveillez vos comptes financiers pour détecter toute activité inhabituelle, surtout si une banque ou une banque d'épargne est impliquée.
  • Utilisez un outil d'alerte de fuite de données pour vérifier si votre adresse e-mail ou votre numéro de téléphone apparaît dans des fuites connues.

Où un VPN aide et où il n'aide pas

Un VPN chiffre votre trafic internet entre votre appareil et le serveur VPN, ce qui est utile sur les réseaux non fiables comme le Wi-Fi public et masque votre navigation à votre réseau local et, dans une certaine mesure, à votre fournisseur d'accès. Ce sont de réels avantages.

Mais un VPN ne protège pas les données qu'une entreprise détient déjà. Si une banque, une université, une compagnie aérienne ou une chaîne de cafés est victime d'une violation, les informations sont extraites de leurs systèmes, pas de votre connexion. Un VPN ne peut pas empêcher cela, l'annuler, ni sécuriser un mot de passe qui a déjà fuité. Il n'arrêtera pas non plus les messages de hameçonnage qui arrivent après l'exposition de vos données.

Considérez un VPN comme une couche de protection des données en transit, et non comme une défense contre les violations organisationnelles. Les mesures qui comptent le plus après un incident sont celles qui limitent ce à quoi les données fuitées peuvent servir : mots de passe uniques, 2FA et vigilance.

Ce que cela signifie pour vous

Les fuites de données sud-coréennes d'octobre montrent que n'importe qui peut être touché simplement en utilisant des services ordinaires. Vous ne pouvez pas empêcher une entreprise d'être victime d'une violation, mais vous pouvez limiter les dégâts. Partez du principe que certaines de vos informations sont déjà exposées, et rendez leur exploitation plus difficile : pas de mots de passe réutilisés, la 2FA sur les comptes importants, et de la prudence face aux messages non sollicités.

Points clés à retenir

  • Vérifiez si vous avez reçu une notification de violation de la part d'un service que vous utilisez, et suivez ses recommandations.
  • Passez votre adresse e-mail et votre numéro de téléphone dans un outil d'alerte de fuite de données.
  • Adoptez des mots de passe uniques pour chaque compte et activez la 2FA.
  • Traitez les appels, SMS et e-mails inattendus avec suspicion, même s'ils semblent provenir d'une entreprise que vous connaissez.
  • Continuez à utiliser un VPN pour ce qu'il fait bien, mais ne comptez pas sur lui pour protéger les données stockées par d'autres.

Pour voir comment une exposition similaire peut affecter des individus, lisez notre rapport sur la violation de l'Église du Plein Évangile de Yoido, et prenez quelques minutes aujourd'hui pour renforcer vos mots de passe et vos paramètres 2FA.