Africa-Press – Niger. Le groupe Voyageurs du Monde a annoncé que 10 000 passeports lui avaient été dérobés par des cybercriminels mi-mai. Comment réagir si cela vous arrive ?
L’agence de voyages Voyageurs du Monde a été victime le 16 mai dernier d’une cyberattaque revendiquée par le groupe Lockbit, qui lui a dérobé les données personnelles d’environ 10 000 clients. « Des cybercriminels ont pénétré notre réseau informatique en se procurant le mot de passe de l’un de nos collaborateurs, sans que l’on sache comment, et sont parvenus à le crypter, nous privant d’accès et dérobant les données personnelles d’environ 1 % de nos clients », explique son PDG, Jean-François Rial, au Point.
Très actif ces derniers mois, ce groupe est connu pour crypter les données d’une entreprise et lui réclamer une rançon. Dans le cas de Voyageurs du Monde, qui a refusé de dialoguer avec les hackers et de connaître le montant de la rançon, le groupe criminel affirme avoir publié sur le darknet « 10 000 passeports et des tonnes de données confidentielles ».
« Ils nous ont pris 10 000 photocopies de passeports, mais sans leurs données biométriques, nuance Jean-François Rial. Cela ne concerne que les activités de groupes et les collectivités, et non pas la clientèle individuelle. » D’autres données, « sans intérêt » selon le PDG, ont également été volées. Il s’agit de « formulaires d’adhésion, ou des contrats liant des prestataires et des fournisseurs ».
L’entreprise, qui se veut rassurante, assure avoir rétabli le fonctionnement de son réseau au bout de six jours, et a déposé une plainte.
Si vous êtes concerné, ou que vous devez un jour faire face au vol de vos données personnelles à la suite d’une cyberattaque, voici la marche à suivre, par ordre de priorité.
Pour réagir de façon adéquate face à une cyberattaque, il faut d’abord s’assurer de la nature et de la sensibilité des informations dérobées. Celles-ci n’ont en effet pas toutes la même valeur pour les hackers : un numéro de sécurité sociale, par exemple, ne leur est pas de grande utilité.
Pour cela, c’est à l’entreprise attaquée qu’il revient de vous renseigner. Celle-ci est en effet tenue par la loi de vous informer du vol de vos données et vous en préciser la nature, à condition qu’elle ait réussi à les recenser. Cyberattaqué l’an dernier, l’hôpital de Corbeil-Essonnes n’a pas pu évaluer précisément qui avait été visé, et quelles données étaient concernées, et a dû écrire à l’ensemble de ses patients pour les avertir, faute de pouvoir trier.
Il s’agit du cas le plus problématique de vol de données personnelles, car elles peuvent permettre à des escrocs d’usurper votre identité. Dans le cas de Voyageurs du Monde, selon Jean-François Rial, « la police recommande de ne pas porter plainte ni même de changer son passeport, car les données biométriques n’ont pas été dérobées, ce qui limite le risque d’usurpation d’identité ».
Néanmoins, le directeur expertise de la plateforme gouvernementale cybermalveillance.gouv.fr Jean-Jacques Latour préconise, lui, de demander le renouvellement de son passeport et de déposer une main courante pour se prémunir de tout risque. « Un passeport, une carte d’identité, un avis d’imposition ou une fiche de paie peuvent permettre aux cybercriminels de contracter un crédit à la consommation, d’acheter une ligne téléphonique et de s’en servir pour différents trafics, ou encore d’immatriculer des véhicules à votre nom, vous laissant les amendes à payer, explique le spécialiste en cybersécurité. Il faut donc prendre des mesures de précaution. »
Ainsi, si vous êtes informé du vol d’un document d’identité, il est recommandé de déposer une main courante et de demander le renouvellement du document, afin de laisser une trace administrative à faire valoir en cas d’usurpation.
Dans le cas de Voyageurs du Monde, cette optique semble cependant peu probable : pour demander un crédit à la consommation, par exemple, une seule pièce d’identité ne suffit pas. Il faudrait aussi que l’escroc ait en sa possession un avis d’imposition ou un justificatif de domicile pour tromper la banque.
Mais pour éviter au maximum ce genre de situation désagréable, Jean-Jacques Latour recommande de limiter les données envoyées aux entreprises, et surtout de marquer les documents d’identité avant de les expédier. En imprimant et annotant la photocopie de son passeport avant de le scanner, en précisant par exemple la date de l’envoi et son destinataire, vous limitez en effet largement l’utilisation qui pourra en être faite par un cybercriminel.
L’opération peut aussi être réalisée numériquement, à condition d’envoyer la version annotée en format PDF pour empêcher toute modification ultérieure en cas de vol de données.
S’il s’avère que vous êtes victime d’une usurpation d’identité, il faut aller porter plainte à chaque fois qu’une action est effectuée en votre nom. Plusieurs personnes peuvent en effet se servir en même temps de votre identité à des fins frauduleuses : il sera plus simple pour la police de disposer de plaintes différentes pour chaque fait. Ces plaintes vous serviront aussi à faire valoir votre situation si on vous réclame des paiements indus.
En cas de situation trop difficile à gérer, n’hésitez pas à vous faire accompagner par des associations de consommateurs, comme UFC Que Choisir, qui peuvent vous assister dans les formalités administratives. En cas d’usurpation trop grave, un avocat spécialisé peut également se révéler utile.
« Il faut faire opposition immédiatement », explique Jean-Jacques Latour, tout en prévenant votre banque du vol et des risques de fraude sur votre compte bancaire.
Il faut changer rapidement le mot de passe du compte en question, ainsi que ceux de tous les autres comptes sur lequel il est utilisé.
Il est d’ailleurs formellement déconseillé d’utiliser un même mot de passe pour plusieurs sites : utilisez plutôt un gestionnaire de mots de passe, comme KeePass, gratuit et recommandé par l’Agence nationale de la sécurité informatique (Ansi). Celui-ci générera des mots de passe sécurisés pour limiter le risque d’attaque de vos comptes, sans que vous ayez besoin de vous souvenir de chacun. Les antivirus proposent également ce type de gestionnaires de mots de passe dans leur version payante.
Si cela peut faire peur, « avec un IBAN, un escroc ne peut pas faire grand-chose, rassure Jean-Jacques Latour. Il pourrait demander des prélèvements à la banque, mais il vous est possible de faire opposition si vous remarquez un prélèvement indu ».
Il faut donc surveiller son compte en banque, et ne pas hésiter à appeler son conseiller en cas de mouvement suspect. Si de l’argent vous a effectivement été prélevé de façon frauduleuse, la banque est tenue de vous rembourser tant que vous n’avez pas fourni votre code secret. La plateforme Perceval a été mise en ligne pour recenser tous ces types de fraudes : n’hésitez pas à aller y signaler tout prélèvement frauduleux, même si cela ne concerne qu’une petite somme. Cela permet aux forces de l’ordre de mieux lutter contre la cybercriminalité.
Le risque principal en cas de vol de ce type de données réside en fait dans le hameçonnage ciblé : un escroc peut tenter de vous appeler en se faisant passer, par exemple, pour votre conseiller bancaire, grâce aux informations tirées du vol de données.
Pour s’en prémunir, recommande Jean-Jacques Latour, « il ne faut pas hésiter, en cas de doute, à raccrocher, et à rappeler l’organisme dont il se réclame sur son numéro officiel, afin de vérifier que l’appel est légitime et qu’il ne s’agit pas d’une escroquerie ».
Il ne faut, en outre, jamais communiquer un mot de passe par téléphone.
« Il n’y a pas grand-chose à faire à part changer son numéro de téléphone, observe Jean-Jacques Latour. Ce n’est pas très risqué, mais il faut rester vigilant face aux spams, et ne jamais cliquer sur un lien reçu par SMS d’un numéro inconnu, ou se réclamant d’un organisme dont vous n’êtes pas sûr. »
Pour plus d’informations et d’analyses sur la Niger, suivez Africa-Press
