Fuite de données chez Free : quels sont les risques si votre IBAN a été piraté ?

L'ampleur de la cyberattaque subie par le deuxième fournisseur d'accès du pays se précise. Deux jours après avoir commencé à prévenir ses clients par mail qu'il avait été victime récemment d'une intrusion informatique qui a compromis leurs données personnelles, l'opérateur Free a confirmé ce lundi 28 octobre à RTL que les identifiants bancaires de certains abonnés Freebox étaient également concernés par l'incident.

Dans un premier temps, Free avait indiqué que les informations personnelles (nom, prénom, mail, adresse, date et lieu de naissance), les identifiants et les données contractuelles de certains abonnés avaient été dérobés dans l'attaque. L'opérateur assurait cependant que les cartes bancaires des clients n'étaient pas affectées.

Lors de la revendication du piratage, en début de semaine dernière, un cybercriminel affirmait détenir les fiches clients de 19,2 millions d'abonnés Freebox et Free Mobile et les identifiants bancaires IBAN de 5,11 millions d'abonnés Freebox. L'opérateur confirme que "les IBAN de certains abonnés Freebox ont été concernés" et que "ces derniers ont été prévenus par mail". En revanche, l'entreprise se refuse toujours à "communiquer des chiffres", "pour des raisons de sécurité".

Les risques : de faux ordres de prélèvements et le détournement de compte

Pour une bonne partie des clients de Free dans l'internet fixe, cette fuite de données a donc conduit au piratage de leur IBAN. Un IBAN (International Bank Account Number) est le code standardisé qui permet d'identifier un compte bancaire à l'échelle nationale ou internationale. L'opérateur utilise les IBAN pour prélever les abonnements dus par ses clients au fil des mois à la faveur du mandat de prélèvement signé lors de la souscription des contrats. Cette seule information ne peut donc, en théorie, pas être utilisée pour prélever de l'argent à une personne sans son autorisation. Mais si elle est associée à d'autres données et une fausse signature, elle peut faciliter la création de faux mandats de prélèvements adressés directement aux banques. Une escroquerie en forte hausse dans le pays ces dernières années.

À lire aussi

Connecté

Riz, sèche-cheveux, coton-tige... Que faut-il vraiment faire si votre smartphone tombe dans l'eau ?

Munis de cette information, des cybercriminels peuvent aussi tenter de détourner les paiements vers un compte en demandant à une entreprise ou un prestataire de modifier l'IBAN destinataire du versement d'un salaire ou d'une facture, par exemple. Autre risque : associé aux informations contractuelles d'un abonné, l'IBAN peut être utilisé pour légitimer une arnaque aux faux conseillers bancaires ou une tentative de SIM swap, une usurpation de ligne téléphonique visant à récupérer les codes d'accès aux comptes en ligne de la victime.

Dans cette situation, les experts appellent les abonnés de Free, mais aussi ceux de l'opérateur SFR victimes d'une fuite de données similaires fin septembre, à faire preuve de vigilance face aux mouvements observés sur leurs comptes bancaires dans les prochaines semaines. En cas d'opération suspecte, la loi autorise à faire réclamation pendant 13 mois pour le contester et obtenir un remboursement de sa banque. Cette dernière a en effet l'obligation de vérifier les informations et la signature des mandats. Elle sera alors tenue de remettre le compte dans l'état dans lequel il se trouvait avant l'opération frauduleuse. 

Demander à sa banque la mise en place d'une liste blanche pour les prélèvements

Pour se prémunir des fraudes, les clients ont aussi la possibilité de demander à leur banque la mise en place d'une liste blanche, qui autorise seulement les créanciers listés à le débiter. Ce système a l'inconvénient d'être un plus fastidieux, car la liste doit être actualisée lors de l'ajout de tout nouveau créancier, mais il apparaît à ce jour le plus efficace pour contrer le risque de fraude. Autre option, activer une option conditionnant l'ajout de tout mandat de prélèvement à une validation via l'application bancaire.

Plus largement, la fuite de données devrait exposer les abonnés de Free à de nouvelles attaques de phishing, plus ou moins ciblées, visant à leur dérober de nouvelles informations personnelles, des données bancaires et de l'argent. Il est donc impératif de ne pas donner suite aux mails, messages et appels leur demandant l'envoi de données personnelles ou de renseignements bancaires et de privilégier les démarches proactives pour les actes administratifs. Les experts recommandant aussi de changer les mots de passe associés aux comptes piratés chez les opérateurs et d'activer la double authentification pour ajouter une couche de sécurité supplémentaire en conditionnant l'accès au compte à la transmission d'un code à usage unique reçu par SMS en plus du traditionnel mot de passe.