Après la violation massive de données chez Equifax,des institutions veulent que l'entreprise soit tenue responsable
Du vol potentiel d'identité

Le , par Stéphane le calme, Chroniqueur Actualités
Il y a quelques jours, Equifax, une agence de déclaration de crédit à la consommation aux États-Unis (considérée comme l'une des trois plus grandes agences de crédit américaines avec Experian et TransUnion), a confirmé avoir été victime d’une violation de données suite à une attaque qui a eu lieu le 29 juillet.

Au total, les données de près de 143 millions de clients américains ont été exposées. Les pirates ont eu accès, de mi-mai à juillet, à des informations comme les noms, les adresses, les dates de naissance, les numéros de sécurité sociale et du permis de conduire, autant d’informations qui peuvent servir à une usurpation d’identité.

Equifax a également précisé que les cybercriminels étaient parvenus à accéder aux numéros de carte de crédit de 209 000 citoyens américains. Ils ont également pu mettre la main sur plus de 180 000 dossiers de crédits.

L’entreprise a pointé du doigt une faille dans Apache Struts qui aurait été utilisée par des pirates.

Le lendemain, l’entreprise a annoncé que deux de ses cadres supérieurs ont donné leur démission :

« La société a annoncé que le DSI et le chef de la sécurité démissionnent. Mark Rohrwasser a été nommé DSI par intérim. Rohrwasser a rejoint Equifax en 2016 et a dirigé les opérations internationales de commerce d'Equifax depuis cette date. Russ Ayres a été nommé responsable de la sécurité par intérim. Ayres a récemment occupé le poste de vice-président de l'organisation informatique d'Equifax. Il rendait des comptes directement au DSI. Cette décision est effective immédiatement. »

Néanmoins, les rebondissements de cette affaire ne semblent pas avoir calmé la colère et la frustration de ses clients. Il faut rappeler en effet que ce type de données pourrait être utilisé pour le vol d'identité et pour créer de faux comptes. Aussi, l’entreprise s’est vue assignée en justice par une dizaine de recours collectifs par les clients, mais aussi les actionnaires. Cette fois-ci, une institution financière est entrée dans la danse et tente de récupérer de manière préventive les pertes causées par la brèche.

Summit Credit Union, basé à Madison, a rappelé dans sa plainte que les institutions financières devront supporter le coût de l'annulation et de la réinitialisation des cartes de crédit ainsi que le coût de toute charge frauduleuse. Elles perdront également « des profits parce que leurs membres ou leurs clients pourraient ne pas vouloir ou pouvoir utiliser leurs cartes de crédit suite à la violation. »

« Pour les institutions financières, qu’ils endossent la responsabilité financière du vol d'identité », a déclaré l'avocat de Summit, Stacey Slaughter, du cabinet d'avocats Robins Kaplan. Il a rappelé que le hack d’Equifax a exposé « Tous les composants qui permettraient à quelqu'un de créer une nouvelle identité. »

Equifax a déclaré faire de son mieux pour répondre à la violation et alerté les consommateurs aussi rapidement que possible. « Nous ne pouvons pas commenter les litiges en cours, mais nous restons concentrés sur l'aide à nos clients, ainsi que de leurs employés et consommateurs, pour naviguer dans cette situation », a déclaré Equifax dans un communiqué.

Après des infractions de cette amplitude, ces types de procès peuvent être très coûteux. Rappelons par exemple qu’après le hack de Target en 2013, le détaillant a accepté de payer 39,4 millions de dollars pour régler les créances des banques et des coopératives de crédit et a accepté de verser aux émetteurs de carte Visa jusqu'à 67 millions de dollars.

Pour le cas d’Equifax, le problème est encore plus complexe étant donné qu’il entretient des relations étroites avec les banques et des prêteurs hypothécaires. Ces institutions financières partagent des informations avec Equifax qui sont ensuite utilisées pour compiler des rapports de crédit sur des millions de consommateurs. Les banques achètent ces rapports pour les aider à déterminer à qui prêter de l'argent ou à accorder des crédits.

Source : Chicago Tribune

Et vous ?

Qu'en pensez-vous ?

Mise à jour du 26/09/2017 : Le PDG d'Equifax démissionne à la suite d'une violation massive des données

Un peu plus d’une semaine après la démission du directeur de l’information David Webb et de la responsable sécurité Susan Mauldin, c’est au tour du PDG d’Equifax Richard Smith d’être remercié. Il était à la tête de l’agence américaine d’évaluation de crédit depuis 2005 et siégeait au conseil d’administration. Paulino Barros, actuel responsable de l’activité en Asie-Pacifique, assurera l’intérim au poste de CEO.

« Le Conseil d'administration reste profondément préoccupé par le piratage et déterminé à faire face à ses conséquences », a souligné Mark Feidler, qui est provisoirement PCA de l’entreprise à titre non exécutif. « Au nom de l'ensemble du Conseil d'administration, j'adresse mes excuses les plus sincères. » Celui-ci précise que Richard Smith va continuer de conseiller Equifax sans être toutefois payé.

La société est toujours confrontée à une enquête de la Federal Trade Commission et à une audience devant le Congrès la semaine prochaine. Un porte-parole d'Equifax a déclaré que Smith devait encore témoigner devant le Comité bancaire du Sénat le 4 octobre.

Source : CNN


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse Signaler un problème

Avatar de Namica Namica - Membre expérimenté https://www.developpez.com
le 27/09/2017 à 1:26
Tu joues avec la sécurité de tes clients au nom de la rentabilité au profit des actionnaires qui t’ont mis à ton poste et en vue de tes bonis d'exploitation ?
Ben oui, c'est un dilemme, mais là, tu as tout perdu, et pas seulement tes "incentives".
En outre, comment vas-tu retrouver du boulot après une telle tache ?
  • Avis à tous les décideurs de budget, compétents ou non : on ne doit pas badiner avec la sécurité, c'est votre siège éjectable.
  • Avis à tous les chefs de projet, compétents ou non : ben, même remarque.
  • Avis à tous les maillons de la chaine : devinez quoi ?

Euh, à qui confiez-vous vos économies ? A des sociétés (Cie d'assurances, Banques, Bourse, ... ) qui investissent dans des entreprises et les pressent comme un citron pour maximiser leur rentabilité court terme ?
Tout comme vous avez choisi votre placement pour sa rentabilité et son rendement en vue de votre retraite ?

Je pense que nous sommes gouvernés par les fonds de pensions, lesquels vu la concurrence, mettent une néfaste pression sur une rentabilité à court terme des entreprises.
L'ironie de l'affaire c'est que si nous ne sommes pas d'accord avec cette attitude, quel fond de pension choisir/privilégier pour placer notre épargne ?
(pour ceux qui peuvent épargner un petit peu, of course)
J'ai bien quelques idées, mais je préfère lancer d'abord le débat avant de les exposer.
Avatar de cdubet cdubet - Membre actif https://www.developpez.com
le 29/09/2017 à 15:30
le pire c est qu une fois la fuite connue en interne, les dirigeants se sont empresses de revendre leurs actions vant que le grand public le sache
Avatar de cdubet cdubet - Membre actif https://www.developpez.com
le 29/09/2017 à 15:34
faut pas s inquieter pour eux, avec ce qu ils ont touche, ils n ont plus besoin de travailler.

Le dilemme est plutot tu economise sur la securité, tu gagnes beaucoup mais tu as une chance non nulle de sauter si scandale non etouffé ou tu ne tires pas sur la corde et tu ne gagnes rien (car on mettra a ta place un gars qui lui n aura pas tes scrupules)

PS: a niveau des dirigeants, combien sont issus de fonction technique ou ont une compréhension minimale des problemes ?
Avatar de Jon Shannow Jon Shannow - Expert confirmé https://www.developpez.com
le 29/09/2017 à 16:00
La Société Générale pourrait peut-être leur revendre Jérôme Kerviel, c'est un concept qui a pas mal marché pour eux...
Avatar de Stéphane le calme Stéphane le calme - Chroniqueur Actualités https://www.developpez.com
le 12/11/2017 à 17:13
Le piratage massif de données d'Equifax ne lui a coûté pour l'instant que 87,5 millions de dollars,
l'entreprise n'a perdu aucun de ses gros clients

En septembre dernier, Equifax, une agence de déclaration de crédit à la consommation aux États-Unis (considérée comme l’une des trois plus grandes agences de crédit américaines avec Experian et TransUnion), a confirmé avoir été victime d’un accès non autorisé à sa base de données contenant 143 millions de ses clients américains. Un incident dont les répercussions sont à relativiser.

En effet, durant une conférence avec les investisseurs pour donner des résultats financiers du troisième trimestre de 2017, les dirigeants d'Equifax ont déclaré que la société avait engagé des dépenses de 87,5 millions de dollars liées à cet incident. Dans le détail, l’entreprise a dépensé 55,5 millions de dollars en coûts de produits, 17,1 millions de dollars en réponse aux incidents et autres honoraires professionnels et 14,9 millions de dollars en soutien à la clientèle.

La direction d'Equifax a également déclaré qu’elle s'attend à des coûts supplémentaires générés par cette brèche dans une fourchette comprise entre 56 et 110 millions de dollars dans les mois à venir. Ces coûts représentent le « passif éventuel » qui correspond aux obligations potentielles de remboursement à des tiers de dégâts matériels ou aux personnes en cas de survenue d'un évènement impliquant la responsabilité de l'entité, jugée peu probable, mais dont les conséquences seraient graves en cas de réalisation. Dans le cas d’espèce, l’entreprise a évoqué la surveillance gratuite du crédit et la protection contre le vol d'identité à l'intention de tous les consommateurs américains en un geste de bonne volonté.

Cela n’inclut donc pas les dépenses afférant aux recours collectifs dont Equifax fait l’objet dans de nombreux États. En tout, l’entreprise fait face à plus de 240 recours collectifs. Cette semaine, un groupe de consommateurs a déposé 180 000 signatures au siège social d'Equifax à Atlanta dans le cadre d'une pétition visant à forcer l'entreprise à fournir de meilleures protections aux utilisateurs pour les utilisateurs touchés par la violation de données.

Les coûts fournis par Equifax sont une estimation des dépenses nécessaires pour fournir ce service à ceux qui se sont inscrits ou qui s'inscriront avant la date limite du 31 janvier 2018. Pour combler ce déficit, le PDG par intérim Paulino Barros a annoncé que les cadres ne recevront aucun bonus pour 2017 « en raison de l'incident de cybersécurité. »

« Nous n’avons pas perdu de contrats », a déclaré Barros durant cet entretien. Bien qu'aucun client majeur n'ait rompu les liens avec le bureau de crédit, certains ont retardé de nouveaux contrats jusqu'à ce qu'Equifax prouve qu'ils en ont fait suffisamment pour consolider leur cybersécurité, une situation qui pourrait nuire aux ventes et aux bénéfices des prochains trimestres, a commenté Barros.

Equifax a également dépensé jusqu'à 75 millions de dollars pour moderniser ses services informatiques, et l'investissement dans la cybersécurité pourrait également toucher les résultats du prochain trimestre, a déclaré John Gamble, directeur financier de la société.

Même cela ne suffirait peut-être pas pour empêcher de futurs hacks, a averti l'entreprise : « Nous ne pouvons pas garantir que toutes les causes potentielles de l'incident ont été identifiées et corrigées et ne se reproduiront plus ». Rappelons que, selon les enquêtes de l’entreprise, ce piratage a été possible à cause d’une faille détectée dans Struts, le Framework web utilisé par l’entreprise pour développer son application web. Au vu de ce commentaire, il apparaît que l’entreprise réalise que d’autres vecteurs d’attaques sont possibles.

« À court terme, la direction devra convaincre les clients sceptiques et les nouvelles perspectives commerciales que ses défenses en matière de cybersécurité se soient renforcées pour convertir les reports de contrats en bénéfices et flux de trésorerie réels », a déclaré David Togut, analyste chez Evercore ISI.

Source : NYP, Consumer Union (pétition avec les 180 000 signatures), Bloomberg, Equifax résultats financiers (en PDF)

Voir aussi :

Les entreprises victimes de piratage devraient-elles être autorisées à faire de même en légitime défense ? Non, selon l'ancien directeur de la NSA
Avatar de marsupial marsupial - Membre émérite https://www.developpez.com
le 12/11/2017 à 21:38
87,5 millions de dollars, c'est à la fois beaucoup et très peu. Tout dépend de leur utilisation. Et à ce que j'en vois de la situation, cela va sûrement faire juste.
Mais bon ils ont 240 recours collectifs à gérera.

Édit : ils partent d'aussi loin que France 5, je crois, qui depuis son hack de 2015, remet une couche chaque année, mois, jours de sécurité sans voir le bout du tunnel. Et cela fait trop de boulot et de frais.
Avatar de Volgaan Volgaan - Membre averti https://www.developpez.com
le 14/11/2017 à 16:32
Rappelons que, selon les enquêtes de l’entreprise, ce piratage a été possible à cause d’une faille détectée dans Struts, le Framework web utilisé par l’entreprise pour développer son application web.
Parce que Struts n'avait pas été mis à jour alors que le patch qui corrigeait cette faille était disponible depuis mars. C'est une précision importante
Avatar de Bill Fassinou Bill Fassinou - Chroniqueur Actualités https://www.developpez.com
le 21/06/2018 à 19:29
Cybersécurité : comment l'attaque contre Equifax en 2017 a-t-elle pu être possible ?
Voici l'état des lieux de la cybersécurité après cette attaque

La cybersécurité est l'ensemble des dispositifs juridiques, technologiques et humains qui peuvent être utilisés pour protéger les personnes et les actifs informatiques matériels et immatériels. Elle existe pour contrecarrer les différentes attaques en provenance de l'internet (la cybermenace). Les pirates s'en prennent aussi bien aux particuliers qu'aux entreprises pour leur voler des données personnelles ou de l'argent. Equifax, une des plus grandes agences de déclaration de crédit à la consommation aux États-Unis a été victime d’une violation de données suite à une attaque qui a eu lieu le 29 juillet 2017. Plusieurs données ont été dérobées : 145,5 millions de numéros de sécurité sociale, environ 17,6 millions de numéros de permis de conduire, 20,3 millions de numéros de téléphone, et 1,8 million d'adresses e-mail.

Malgré toutes les mesures sécuritaires que prennent les entreprises, les pirates parviennent toujours à trouver le moyen de les contourner. Cela est parfois dû au manque de vigilance des entreprises dans l'application des correctifs sécuritaires dans leurs installations. Mais la cybermenace persistante vient aussi de l'agilité des hackers à se fondre dans la masse des employés de l'entreprise victime. Chris Morales, responsable de l'analyse de sécurité à Vectra explique que « chaque entreprise a un profil de comportement de réseau et d'utilisateur qui se rapportent à des modèles commerciaux spécifiques ». Il précise que « les pirates vont imiter et se fondre dans ces comportements, ce qui les rend difficiles à identifier ».

Les entreprises spécialisées dans les services financiers investissent le plus dans la cybersécurité. Elles disposent d'importants moyens financiers et humains pour assurer la sécurité des données financières, mais la cybermenace constitue une réalité à laquelle elles font face au quotidien. Aux grands remèdes, les grands maux, pourrait-on dire. Selon un rapport de Vectra sur les services financiers, « la Bank of America investit plus de 600 millions de dollars dans la cybersécurité par an et a déclaré qu'elle a un budget illimité pour se battre contre les cyberattaques et JPMorgan Chase dépense 500 millions de dollars par année pour la cybersécurité ».


Comment les pirates parviennent-ils à mener une cyberattaque malgré les mesures sécuritaires ?

Une étude réalisée par Vectra indique que dans le cas d'Equifax par exemple, « les pirates ont évité d'utiliser certains outils de piratage qui les auraient exposé à l'équipe de sécurité d'Equifax. Cependant, l'un des outils qu'ils utilisent leur a permis de construire des tunnels cachés de « commande et contrôle » dans Equifax ». Le rapport indique que cette attaque s'est faite en quatre étapes. D'abord, « le pirate installe plusieurs coquilles web, chacune avec une adresse web différente, ce qui a créé plusieurs tunnels cachés. Si l'un était découvert, les autres pourraient continuer à fonctionner ». Cette phase d'attaque est connue sous le nom de « commande et contrôle ».

« Une fois à l'intérieur du réseau, les pirates ont le temps de personnaliser les outils de piratage pour exploiter efficacement les logiciels d'Equifax, les requêtes et analyser des dizaines de bases de données pour déterminer lesquelles contenaient les données les plus précieuses ». Cette phase d'attaque est appelée la « reconnaissance ». Ensuite, « les pirates ont utilisé des outils de tunnellisation spéciaux pour échapper aux pare-feu, analysant et piratant les bases de données l'une après l'autre tout en stockant des données dans les propres systèmes de stockage de l'entreprise » : c'est la phase d'attaque connue sous le nom de « mouvement latéral ». Enfin, pour la dernière phase d'attaque connue sous le nom d' « exfiltration de données », « les pirates ont collecté une mine de données tellement volumineuse qu'il a fallu les diviser en de petits stocks pour éviter le déclenchement des systèmes de détection des anomalies et de prévention des pertes de données ».


Qu'en est-il de la cybersécurité après l'attaque d'Equifax ?

Vectra a procédé à l'analyse de l'industrie financière pendant six mois après l'attaque d'Equifax. Les résultats sont toujours aussi inquiétants. Les mesures de cybersécurité sont bien renforcées davantage, mais la menace demeure. Sur 10 000 équipements analysés, Vectra a détecté beaucoup plus de tunnels cachés de « commande et contrôle » dans les services financiers que dans tous les autres services réunis. Il y a aussi deux fois plus de tunnels cachés d'exfiltration de données. Du mois d'août 2017 à janvier 2018, les tunnels HTTP cachés sont passés de 7 pour 10 000 appareils à 16 dans les services financiers. Ce qui frappe plus à l’œil, selon Morales, est « le nombre important de tunnels cachés que les pirates utilisent pour échapper aux contrôles d'accès, aux pare-feu et aux systèmes de détection d'intrusion ».


Ce qui compromet la cybersécurité dans l'utilisation des tunnels cachés, selon le rapport, est qu'« ils sont difficiles à détecter, car les communications sont dissimulées dans plusieurs connexions qui utilisent des protocoles normaux généralement autorisés. Par exemple, les communications peuvent être incorporées sous forme de texte dans les requêtes HTTP-GET, ainsi que dans les en-têtes, les cookies et d'autres champs. Les demandes et les réponses sont masquées parmi les messages dans le protocole autorisé ».

Télécharger le rapport de vectra sur les services financiers

Source : Vectra

Et vous ?

Que pensez-vous de la cybermenace qui devient de plus en plus inquiétante ?
Que peuvent faire les entreprises pour lutter efficacement contre ces attaques ?

Voir aussi

Quels sont les scandales ou ratés dans l'industrie de la technologie qui vous ont le plus marqué en 2017 ? Petit tour d'horizon de l'année écoulée

Sécurité informatique : 26 % des entreprises manquent de temps pour appliquer les correctifs selon une enquête réalisée par Outpost24

Les données de 143 millions d'Américains ont été potentiellement exposées à un piratage d'une société de renseignement de crédit

Le piratage massif de données d'Equifax ne lui a coûté pour l'instant que 87,5 millions de dollars, l'entreprise n'a perdu aucun de ses gros clients
Contacter le responsable de la rubrique Accueil