Après la violation massive de données chez Equifax,des institutions veulent que l'entreprise soit tenue responsable
Du vol potentiel d'identité

Le , par Stéphane le calme, Chroniqueur Actualités
Il y a quelques jours, Equifax, une agence de déclaration de crédit à la consommation aux États-Unis (considérée comme l'une des trois plus grandes agences de crédit américaines avec Experian et TransUnion), a confirmé avoir été victime d’une violation de données suite à une attaque qui a eu lieu le 29 juillet.

Au total, les données de près de 143 millions de clients américains ont été exposées. Les pirates ont eu accès, de mi-mai à juillet, à des informations comme les noms, les adresses, les dates de naissance, les numéros de sécurité sociale et du permis de conduire, autant d’informations qui peuvent servir à une usurpation d’identité.

Equifax a également précisé que les cybercriminels étaient parvenus à accéder aux numéros de carte de crédit de 209 000 citoyens américains. Ils ont également pu mettre la main sur plus de 180 000 dossiers de crédits.

L’entreprise a pointé du doigt une faille dans Apache Struts qui aurait été utilisée par des pirates.

Le lendemain, l’entreprise a annoncé que deux de ses cadres supérieurs ont donné leur démission :

« La société a annoncé que le DSI et le chef de la sécurité démissionnent. Mark Rohrwasser a été nommé DSI par intérim. Rohrwasser a rejoint Equifax en 2016 et a dirigé les opérations internationales de commerce d'Equifax depuis cette date. Russ Ayres a été nommé responsable de la sécurité par intérim. Ayres a récemment occupé le poste de vice-président de l'organisation informatique d'Equifax. Il rendait des comptes directement au DSI. Cette décision est effective immédiatement. »

Néanmoins, les rebondissements de cette affaire ne semblent pas avoir calmé la colère et la frustration de ses clients. Il faut rappeler en effet que ce type de données pourrait être utilisé pour le vol d'identité et pour créer de faux comptes. Aussi, l’entreprise s’est vue assignée en justice par une dizaine de recours collectifs par les clients, mais aussi les actionnaires. Cette fois-ci, une institution financière est entrée dans la danse et tente de récupérer de manière préventive les pertes causées par la brèche.

Summit Credit Union, basé à Madison, a rappelé dans sa plainte que les institutions financières devront supporter le coût de l'annulation et de la réinitialisation des cartes de crédit ainsi que le coût de toute charge frauduleuse. Elles perdront également « des profits parce que leurs membres ou leurs clients pourraient ne pas vouloir ou pouvoir utiliser leurs cartes de crédit suite à la violation. »

« Pour les institutions financières, qu’ils endossent la responsabilité financière du vol d'identité », a déclaré l'avocat de Summit, Stacey Slaughter, du cabinet d'avocats Robins Kaplan. Il a rappelé que le hack d’Equifax a exposé « Tous les composants qui permettraient à quelqu'un de créer une nouvelle identité. »

Equifax a déclaré faire de son mieux pour répondre à la violation et alerté les consommateurs aussi rapidement que possible. « Nous ne pouvons pas commenter les litiges en cours, mais nous restons concentrés sur l'aide à nos clients, ainsi que de leurs employés et consommateurs, pour naviguer dans cette situation », a déclaré Equifax dans un communiqué.

Après des infractions de cette amplitude, ces types de procès peuvent être très coûteux. Rappelons par exemple qu’après le hack de Target en 2013, le détaillant a accepté de payer 39,4 millions de dollars pour régler les créances des banques et des coopératives de crédit et a accepté de verser aux émetteurs de carte Visa jusqu'à 67 millions de dollars.

Pour le cas d’Equifax, le problème est encore plus complexe étant donné qu’il entretient des relations étroites avec les banques et des prêteurs hypothécaires. Ces institutions financières partagent des informations avec Equifax qui sont ensuite utilisées pour compiler des rapports de crédit sur des millions de consommateurs. Les banques achètent ces rapports pour les aider à déterminer à qui prêter de l'argent ou à accorder des crédits.

Source : Chicago Tribune

Et vous ?

Qu'en pensez-vous ?

Mise à jour du 26/09/2017 : Le PDG d'Equifax démissionne à la suite d'une violation massive des données

Un peu plus d’une semaine après la démission du directeur de l’information David Webb et de la responsable sécurité Susan Mauldin, c’est au tour du PDG d’Equifax Richard Smith d’être remercié. Il était à la tête de l’agence américaine d’évaluation de crédit depuis 2005 et siégeait au conseil d’administration. Paulino Barros, actuel responsable de l’activité en Asie-Pacifique, assurera l’intérim au poste de CEO.

« Le Conseil d'administration reste profondément préoccupé par le piratage et déterminé à faire face à ses conséquences », a souligné Mark Feidler, qui est provisoirement PCA de l’entreprise à titre non exécutif. « Au nom de l'ensemble du Conseil d'administration, j'adresse mes excuses les plus sincères. » Celui-ci précise que Richard Smith va continuer de conseiller Equifax sans être toutefois payé.

La société est toujours confrontée à une enquête de la Federal Trade Commission et à une audience devant le Congrès la semaine prochaine. Un porte-parole d'Equifax a déclaré que Smith devait encore témoigner devant le Comité bancaire du Sénat le 4 octobre.

Source : CNN


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de Namica Namica - Membre éprouvé https://www.developpez.com
le 27/09/2017 à 1:26
Tu joues avec la sécurité de tes clients au nom de la rentabilité au profit des actionnaires qui t’ont mis à ton poste et en vue de tes bonis d'exploitation ?
Ben oui, c'est un dilemme, mais là, tu as tout perdu, et pas seulement tes "incentives".
En outre, comment vas-tu retrouver du boulot après une telle tache ?
  • Avis à tous les décideurs de budget, compétents ou non : on ne doit pas badiner avec la sécurité, c'est votre siège éjectable.
  • Avis à tous les chefs de projet, compétents ou non : ben, même remarque.
  • Avis à tous les maillons de la chaine : devinez quoi ?

Euh, à qui confiez-vous vos économies ? A des sociétés (Cie d'assurances, Banques, Bourse, ... ) qui investissent dans des entreprises et les pressent comme un citron pour maximiser leur rentabilité court terme ?
Tout comme vous avez choisi votre placement pour sa rentabilité et son rendement en vue de votre retraite ?

Je pense que nous sommes gouvernés par les fonds de pensions, lesquels vu la concurrence, mettent une néfaste pression sur une rentabilité à court terme des entreprises.
L'ironie de l'affaire c'est que si nous ne sommes pas d'accord avec cette attitude, quel fond de pension choisir/privilégier pour placer notre épargne ?
(pour ceux qui peuvent épargner un petit peu, of course)
J'ai bien quelques idées, mais je préfère lancer d'abord le débat avant de les exposer.
Avatar de cdubet cdubet - Membre actif https://www.developpez.com
le 29/09/2017 à 15:30
le pire c est qu une fois la fuite connue en interne, les dirigeants se sont empresses de revendre leurs actions vant que le grand public le sache
Avatar de cdubet cdubet - Membre actif https://www.developpez.com
le 29/09/2017 à 15:34
faut pas s inquieter pour eux, avec ce qu ils ont touche, ils n ont plus besoin de travailler.

Le dilemme est plutot tu economise sur la securité, tu gagnes beaucoup mais tu as une chance non nulle de sauter si scandale non etouffé ou tu ne tires pas sur la corde et tu ne gagnes rien (car on mettra a ta place un gars qui lui n aura pas tes scrupules)

PS: a niveau des dirigeants, combien sont issus de fonction technique ou ont une compréhension minimale des problemes ?
Avatar de Jon Shannow Jon Shannow - Membre expert https://www.developpez.com
le 29/09/2017 à 16:00
La Société Générale pourrait peut-être leur revendre Jérôme Kerviel, c'est un concept qui a pas mal marché pour eux...
Avatar de Stéphane le calme Stéphane le calme - Chroniqueur Actualités https://www.developpez.com
le 12/11/2017 à 17:13
Le piratage massif de données d'Equifax ne lui a coûté pour l'instant que 87,5 millions de dollars,
l'entreprise n'a perdu aucun de ses gros clients

En septembre dernier, Equifax, une agence de déclaration de crédit à la consommation aux États-Unis (considérée comme l’une des trois plus grandes agences de crédit américaines avec Experian et TransUnion), a confirmé avoir été victime d’un accès non autorisé à sa base de données contenant 143 millions de ses clients américains. Un incident dont les répercussions sont à relativiser.

En effet, durant une conférence avec les investisseurs pour donner des résultats financiers du troisième trimestre de 2017, les dirigeants d'Equifax ont déclaré que la société avait engagé des dépenses de 87,5 millions de dollars liées à cet incident. Dans le détail, l’entreprise a dépensé 55,5 millions de dollars en coûts de produits, 17,1 millions de dollars en réponse aux incidents et autres honoraires professionnels et 14,9 millions de dollars en soutien à la clientèle.

La direction d'Equifax a également déclaré qu’elle s'attend à des coûts supplémentaires générés par cette brèche dans une fourchette comprise entre 56 et 110 millions de dollars dans les mois à venir. Ces coûts représentent le « passif éventuel » qui correspond aux obligations potentielles de remboursement à des tiers de dégâts matériels ou aux personnes en cas de survenue d'un évènement impliquant la responsabilité de l'entité, jugée peu probable, mais dont les conséquences seraient graves en cas de réalisation. Dans le cas d’espèce, l’entreprise a évoqué la surveillance gratuite du crédit et la protection contre le vol d'identité à l'intention de tous les consommateurs américains en un geste de bonne volonté.

Cela n’inclut donc pas les dépenses afférant aux recours collectifs dont Equifax fait l’objet dans de nombreux États. En tout, l’entreprise fait face à plus de 240 recours collectifs. Cette semaine, un groupe de consommateurs a déposé 180 000 signatures au siège social d'Equifax à Atlanta dans le cadre d'une pétition visant à forcer l'entreprise à fournir de meilleures protections aux utilisateurs pour les utilisateurs touchés par la violation de données.

Les coûts fournis par Equifax sont une estimation des dépenses nécessaires pour fournir ce service à ceux qui se sont inscrits ou qui s'inscriront avant la date limite du 31 janvier 2018. Pour combler ce déficit, le PDG par intérim Paulino Barros a annoncé que les cadres ne recevront aucun bonus pour 2017 « en raison de l'incident de cybersécurité. »

« Nous n’avons pas perdu de contrats », a déclaré Barros durant cet entretien. Bien qu'aucun client majeur n'ait rompu les liens avec le bureau de crédit, certains ont retardé de nouveaux contrats jusqu'à ce qu'Equifax prouve qu'ils en ont fait suffisamment pour consolider leur cybersécurité, une situation qui pourrait nuire aux ventes et aux bénéfices des prochains trimestres, a commenté Barros.

Equifax a également dépensé jusqu'à 75 millions de dollars pour moderniser ses services informatiques, et l'investissement dans la cybersécurité pourrait également toucher les résultats du prochain trimestre, a déclaré John Gamble, directeur financier de la société.

Même cela ne suffirait peut-être pas pour empêcher de futurs hacks, a averti l'entreprise : « Nous ne pouvons pas garantir que toutes les causes potentielles de l'incident ont été identifiées et corrigées et ne se reproduiront plus ». Rappelons que, selon les enquêtes de l’entreprise, ce piratage a été possible à cause d’une faille détectée dans Struts, le Framework web utilisé par l’entreprise pour développer son application web. Au vu de ce commentaire, il apparaît que l’entreprise réalise que d’autres vecteurs d’attaques sont possibles.

« À court terme, la direction devra convaincre les clients sceptiques et les nouvelles perspectives commerciales que ses défenses en matière de cybersécurité se soient renforcées pour convertir les reports de contrats en bénéfices et flux de trésorerie réels », a déclaré David Togut, analyste chez Evercore ISI.

Source : NYP, Consumer Union (pétition avec les 180 000 signatures), Bloomberg, Equifax résultats financiers (en PDF)

Voir aussi :

Les entreprises victimes de piratage devraient-elles être autorisées à faire de même en légitime défense ? Non, selon l'ancien directeur de la NSA
Avatar de marsupial marsupial - Membre expérimenté https://www.developpez.com
le 12/11/2017 à 21:38
87,5 millions de dollars, c'est à la fois beaucoup et très peu. Tout dépend de leur utilisation. Et à ce que j'en vois de la situation, cela va sûrement faire juste.
Mais bon ils ont 240 recours collectifs à gérera.

Édit : ils partent d'aussi loin que France 5, je crois, qui depuis son hack de 2015, remet une couche chaque année, mois, jours de sécurité sans voir le bout du tunnel. Et cela fait trop de boulot et de frais.
Avatar de Volgaan Volgaan - Membre actif https://www.developpez.com
le 14/11/2017 à 16:32
Rappelons que, selon les enquêtes de l’entreprise, ce piratage a été possible à cause d’une faille détectée dans Struts, le Framework web utilisé par l’entreprise pour développer son application web.
Parce que Struts n'avait pas été mis à jour alors que le patch qui corrigeait cette faille était disponible depuis mars. C'est une précision importante
Contacter le responsable de la rubrique Accueil