Une fuite de données massive frappe Standard Bank après un refus de payer la rançon

Un acteur malveillant opérant sous le nom de « Rootboy » a commencé à publier un ensemble de données de 154 millions de lignes SQL prétendument volées à Standard Bank, l'une des plus grandes institutions financières d'Afrique du Sud. Selon les rapports, la fuite a débuté après que la banque a refusé de payer une rançon d'un Bitcoin. Plutôt que d'abandonner, l'attaquant a répondu en diffusant les données par déversements quotidiens, ce qui signifie que de nouveaux lots d'enregistrements sensibles sont exposés de manière continue.

L'ampleur et la sensibilité des données divulguées font de cet incident l'une des violations de données financières les plus graves à émerger du continent africain depuis longtemps. Les enregistrements concernés comprennent notamment des numéros d'identité sud-africains, des numéros de passeport, des informations de permis de conduire et des numéros de carte de crédit, ainsi que des données sur les employés et des relevés de transactions d'entreprises.

Quelles données ont été exposées

L'ensemble de données exposées couvre un large éventail d'informations personnellement identifiables (IPI). Pour les particuliers, les éléments les plus préoccupants sont les documents d'identité délivrés par les autorités : numéros d'identité sud-africains, informations de passeport et données de permis de conduire. Il ne s'agit pas simplement d'identifiants de compte qu'il suffit de réinitialiser par un changement de mot de passe. Ce sont des identifiants permanents liés à l'identité légale d'une personne.

Des numéros de carte de crédit apparaissent également dans les données divulguées. Combinés aux informations des documents d'identité, ils forment un profil pouvant être exploité à des fins de fraude financière, de tentatives de prise de contrôle de comptes ou d'attaques par ingénierie sociale où des criminels se font passer pour des victimes auprès des représentants du service clientèle.

Les enregistrements de transactions internes des employés et des entreprises ajoutent un niveau de risque supplémentaire. Les données internes sur le fonctionnement d'une grande banque peuvent être précieuses pour d'autres acteurs criminels cherchant à concevoir des campagnes d'hameçonnage convaincantes ou à identifier des cibles de grande valeur au sein d'une organisation.

Comment ce type de violation est exploité

Lorsque des données de cette nature sont rendues publiques ou vendues sur des forums criminels, elles restent rarement isolées. Les acteurs malveillants utilisent les ensembles de données divulguées pour alimenter toute une série d'attaques consécutives.

Le credential stuffing est l'une des plus courantes. Si les données exposées comprennent des identifiants de connexion ou des informations pouvant être recoupées avec d'autres bases de données divulguées, des outils automatisés testeront ces identifiants sur des applications bancaires, des services de messagerie et des comptes commerciaux. Même si une personne n'a jamais été cliente directe de Standard Bank, ses données pourraient apparaître dans cette violation par le biais de relations avec des tiers.

Les campagnes d'hameçonnage deviennent également plus ciblées et plus convaincantes lorsque les attaquants disposent de données personnelles réelles. Un message frauduleux qui inclut votre numéro d'identité, votre nom réel et une référence à une institution financière que vous utilisez a bien plus de chances d'aboutir qu'un courriel d'arnaque générique.

L'usurpation d'identité, en particulier celle qui consiste à ouvrir de nouveaux comptes ou à demander un crédit au nom d'autrui, devient considérablement plus facile lorsque des numéros d'identité officiels sont disponibles. Les numéros d'identité sud-africains contiennent des informations encodées sur la date de naissance et la citoyenneté, ce qui en fait un passe-partout pour les systèmes de vérification d'identité reposant sur l'authentification par la connaissance.

Ce que cela signifie pour vous

Si vous êtes client de Standard Bank, ou si vous avez déjà fourni des documents d'identité à une institution financière sud-africaine, vous devez partir du principe que vos données circulent peut-être dans des endroits que vous ne contrôlez pas.

Voici des mesures concrètes qu'il vaut la peine de prendre dès maintenant :

  • Surveillez votre profil de crédit. Demandez un rapport de crédit et configurez des alertes si votre bureau de crédit le permet. Des nouveaux comptes ou demandes inexpliqués sont des signes avant-coureurs de fraude à l'identité.
  • Changez les mots de passe de vos comptes financiers. Utilisez des mots de passe uniques et robustes pour chaque compte et activez l'authentification multifacteur partout où elle est disponible.
  • Méfiez-vous des contacts entrants. Si quelqu'un vous appelle ou vous envoie un message en prétendant être votre banque, ne confirmez pas vos informations personnelles. Raccrochez et contactez l'institution directement en utilisant un numéro figurant sur leur site officiel.
  • Soyez vigilant face aux tentatives d'hameçonnage. Les courriels ou messages SMS faisant référence à votre banque, à votre numéro d'identité ou à des transactions récentes doivent être traités avec méfiance, surtout s'ils contiennent un lien ou une demande d'action urgente.
  • Envisagez une alerte à la fraude ou un service de protection de l'identité. Certains bureaux de crédit vous permettent de placer des alertes sur votre profil qui exigent une vérification supplémentaire avant qu'un nouveau crédit puisse être accordé en votre nom.

Se protéger après une violation consiste moins à inverser ce qui s'est passé qu'à rendre plus difficile pour les criminels de passer à l'étape suivante. Les données sont publiées. L'objectif désormais est de réduire la surface d'attaque pour les actions malveillantes qui pourraient suivre.

L'incident Standard Bank rappelle que les données personnelles détenues par les institutions comportent un risque réel, et que ce risque ne disparaît pas lorsque vous fermez un compte ou cessez d'utiliser un service. Rester informé, surveiller vos comptes et pratiquer une hygiène numérique de base sont les outils les plus efficaces dont disposent les particuliers au lendemain de violations à grande échelle comme celle-ci.