Violation de données South Staffordshire Water : pourquoi votre VPN n'aurait pas pu vous aider
L'Information Commissioner's Office (ICO) du Royaume-Uni a infligé une amende de 963 900 £ (environ 1,3 million de dollars) à South Staffordshire Water après qu'une cyberattaque a exposé les données personnelles de plus de 663 000 clients et employés. Les données volées ont été publiées sur le dark web, et l'ICO a constaté que l'entreprise présentait des défaillances importantes dans ses pratiques de sécurité des données. Pour les centaines de milliers de personnes concernées, rien n'aurait pu être fait pour l'empêcher. Cette affaire illustre clairement les limites de la protection offerte par les VPN face aux violations de données d'entreprise, une réalité que les consommateurs soucieux de leur vie privée entendent rarement.
Ce qui s'est passé lors de la violation de données de South Staffordshire Water
South Staffordshire Water est un fournisseur de services publics desservant des clients à travers les Midlands anglais. En tant que fournisseur d'eau, il détient des données clients que les résidents sont légalement tenus de communiquer, notamment leurs noms, adresses et informations de paiement, simplement pour bénéficier du service.
Des cybercriminels ont obtenu un accès non autorisé aux systèmes de l'entreprise et ont exfiltré un grand volume de données personnelles. Les données volées ont ensuite été publiées sur des forums du dark web, ce qui les a rendues accessibles à quiconque souhaitait les consulter. L'enquête de l'ICO a conclu que l'entreprise n'avait pas mis en œuvre des mesures de sécurité adéquates pour protéger les données qu'elle détenait, ce qui justifie l'amende infligée en vertu de la législation britannique sur la protection des données.
L'ampleur est considérable : 663 000 personnes ont vu leurs informations compromises sans aucune faute de leur part. Elles n'avaient aucun mot à dire sur la façon dont l'entreprise stockait leurs données, les outils de sécurité qu'elle déployait ou la durée pendant laquelle elle conservait leurs dossiers.
Pourquoi votre VPN n'aurait pas pu vous protéger ici
C'est l'un des points les plus importants à comprendre concernant les VPN personnels : ils protègent vos données en transit, c'est-à-dire ce qui quitte votre appareil lorsque vous naviguez ou communiquez. Ils ne protègent pas les données qu'un tiers détient déjà sur un serveur quelque part.
Lorsque vous vous inscrivez auprès d'un service public, d'une banque, d'un cabinet médical ou d'un service municipal, vous transmettez des informations personnelles qui sont stockées dans les bases de données de cet organisme. À partir de ce moment, la sécurité de vos données dépend entièrement de la qualité avec laquelle cet organisme gère ses systèmes, forme son personnel et répond aux menaces. Un VPN fonctionnant sur votre ordinateur portable ou votre téléphone n'a aucun lien avec tout cela.
C'est l'une des limites fondamentales de la protection offerte par les VPN face aux violations de données d'entreprise. Un VPN sécurise votre connexion ; il ne peut pas sécuriser la base de données d'un tiers. Aucun outil à la disposition d'un consommateur individuel ne peut le faire. Même une hygiène personnelle en matière de cybersécurité irréprochable — utiliser un VPN, des mots de passe robustes et une authentification multifacteur — vous laisse exposé aux violations survenant dans des organisations auxquelles vous êtes contraint de confier vos informations.
Ce que l'amende de l'ICO révèle sur les défaillances de la sécurité des données d'entreprise
L'amende de 963 900 £ est significative, mais il convient de la replacer dans son contexte. Répartie entre 663 000 personnes concernées, elle représente environ 1,45 £ par personne. Ce chiffre ne reflète pas le coût réel pour ces personnes, qui peuvent faire face à des tentatives de hameçonnage, à des risques d'usurpation d'identité ou à une inquiétude persistante quant à l'endroit où leurs données ont atterri.
Le constat de défaillances importantes en matière de sécurité dressé par l'ICO pointe vers un problème systémique : les organisations qui collectent de grandes quantités de données personnelles ne prennent pas toujours cette responsabilité au sérieux jusqu'à ce qu'un régulateur impose des comptes à rendre. Pour les prestataires de services essentiels en particulier, les clients n'ont aucun recours concurrentiel. Vous ne pouvez tout simplement pas refuser de communiquer votre adresse à votre compagnie des eaux.
C'est là que la compréhension des politiques de conservation des données devient véritablement utile. La conservation des données désigne la durée pendant laquelle une organisation stocke vos informations personnelles avant de les supprimer. Une entreprise qui conserve indéfiniment des décennies de dossiers clients constitue une cible bien plus grande que celle qui supprime les données dès qu'elles ne sont plus nécessaires. L'affaire South Staffordshire rappelle que plus les données restent longtemps dans un système, plus elles génèrent d'exposition.
Comment vérifier les données que les entreprises détiennent sur vous et limiter votre exposition
Bien qu'il vous soit impossible de refuser entièrement de partager des données avec des services essentiels, vous pouvez prendre des mesures pour comprendre et réduire votre exposition.
En vertu du RGPD britannique, les personnes ont le droit de soumettre une demande d'accès aux données (Subject Access Request, ou SAR) à toute organisation qui détient leurs données personnelles. Cela oblige l'organisation à vous indiquer quelles données elle détient, pourquoi elle les détient et combien de temps elle prévoit de les conserver. Soumettre des SAR aux services publics, aux établissements financiers et à d'autres prestataires de services essentiels vous donne une image plus claire de votre exposition.
Vous pouvez également demander aux organisations de supprimer les données qui ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées, en vertu des dispositions relatives au « droit à l'effacement » dans la législation britannique et européenne sur la protection des données. Ce droit ne s'applique pas toujours, notamment lorsqu'il existe des obligations légales de conservation, mais c'est un levier utile à connaître.
Pour les données que vous contrôlez, telles que celles que vous partagez lors de votre inscription à des services facultatifs, des applications ou des programmes de fidélité, il est important d'être attentif à ce que vous fournissez. Utilisez une adresse e-mail secondaire, ne fournissez que le minimum d'informations requis, et consultez les politiques de conservation des données avant de communiquer quoi que ce soit de sensible.
Enfin, surveillez si votre adresse e-mail ou d'autres informations vous concernant apparaissent dans des bases de données de violations connues. Des outils gratuits existent pour vous alerter lorsque vos identifiants apparaissent dans des jeux de données divulgués, vous donnant ainsi un signal d'alarme précoce pour changer vos mots de passe et rester vigilant face aux tentatives de hameçonnage.
Ce que cela signifie pour vous
La violation de données de South Staffordshire Water n'est pas un cas isolé. Les fournisseurs de services publics, les systèmes de santé, les autorités locales et les institutions financières détiennent tous de grandes quantités de données personnelles, et tous n'investissent pas proportionnellement dans leur protection. L'amende de l'ICO témoigne d'une volonté réglementaire, mais les amendes sont réactives, non préventives.
En tant qu'individu, le changement le plus important que vous puissiez opérer est de reconnaître là où votre contrôle s'arrête. Un VPN est un outil précieux pour protéger ce que vous envoyez et recevez en ligne, mais les limites de la protection offerte par les VPN face aux violations de données d'entreprise sont bien réelles. Votre sécurité est seulement aussi solide que la base de données la plus vulnérable qui détient votre nom.
Commencez par soumettre une demande d'accès aux données aux entreprises qui détiennent vos informations les plus sensibles, lisez les politiques de conservation des services auxquels vous vous inscrivez, et restez attentif aux notifications de violations. Comprendre qui détient vos données, et pour combien de temps, est ce qui se rapproche le plus du contrôle que la plupart des consommateurs peuvent réalistement atteindre.
