130 000 IBAN exposés : une mutuelle française victime d’un piratage massif !
La série noire des fuites de données personnelles continue en France et prend une nouvelle fois une tournure particulièrement inquiétante. La Mutuelle Générale de Prévoyance (MGP) a été victime d’une cyberattaque ayant entraîné l’exposition de données concernant près de 200 000 personnes, parmi lesquelles plus de 133 000 IBAN.
À ces informations bancaires s’ajoutent, selon les personnes concernées, des noms, adresses, numéros de téléphone et adresses e-mail, soit suffisamment de renseignements pour permettre aux cybercriminels de construire des arnaques particulièrement crédibles.
Contrairement à ce que pourrait laisser penser une telle annonce, la présence d’un IBAN dans une base de données piratée ne signifie toutefois pas qu’un cybercriminel peut se connecter directement à votre compte bancaire et transférer votre argent. Le véritable danger se situe plutôt dans la combinaison de plusieurs informations personnelles, qui permet de passer d’une attaque informatique relativement impersonnelle à une tentative de fraude extrêmement personnalisée.
Une fuite qui concerne près de 200 000 personnes
Selon les informations communiquées à la suite de l’incident, la fuite aurait concerné environ 198 000 personnes, avec notamment plus de 133 000 IBAN, mais également plusieurs dizaines de milliers de numéros de téléphone et d’adresses e-mail.
D’autres informations personnelles auraient également été exposées, notamment des coordonnées postales, des dates de naissance ou encore certaines références internes. En revanche, les données de santé et les copies de pièces d’identité ne feraient pas partie des informations compromises, ce qui limite heureusement la portée de certains risques particulièrement sensibles.
Le problème reste néanmoins sérieux, car un IBAN associé à une identité et à des coordonnées constitue une combinaison particulièrement intéressante pour les fraudeurs. Une donnée bancaire isolée est relativement peu exploitable, tandis qu’un ensemble cohérent d’informations permet de donner à une tentative d’arnaque une apparence beaucoup plus légitime.
Un IBAN volé ne permet pas de vider votre compte
Il est important de remettre immédiatement les choses dans leur contexte, car les fuites d’IBAN provoquent souvent une inquiétude disproportionnée. Un IBAN n’est pas un mot de passe bancaire et ne donne pas accès à votre compte en ligne. Une personne qui récupère votre numéro de compte ne peut donc pas simplement ouvrir l’application de votre banque, consulter votre solde et transférer votre épargne vers son propre compte.
L’IBAN est d’ailleurs régulièrement communiqué à des entreprises, des employeurs, des organismes publics ou des fournisseurs afin de permettre des virements ou des prélèvements, ce qui signifie qu’il n’a jamais été conçu comme une information secrète.
La situation devient beaucoup plus préoccupante lorsque cet IBAN est associé à votre nom, votre adresse, votre numéro de téléphone et votre adresse e-mail, car le cybercriminel dispose alors d’une véritable fiche d’identité qu’il peut exploiter pour construire une attaque beaucoup plus convaincante.
Le véritable danger se trouve dans le phishing personnalisé
Imaginez recevoir quelques semaines après la fuite un appel d’une personne prétendant travailler pour votre banque ou votre mutuelle. Elle connaît votre nom, votre adresse, votre numéro de téléphone et sait que vous êtes client de l’organisme concerné. Elle peut même être capable de vous donner une partie de votre IBAN afin de vous convaincre qu’elle dispose réellement de votre dossier.
La conversation commence alors généralement par une prétendue anomalie détectée sur votre compte, un prélèvement suspect ou un problème administratif nécessitant une vérification rapide. Le discours peut sembler parfaitement crédible, précisément parce que l’interlocuteur dispose d’informations que vous pensiez réservées à votre banque ou à votre mutuelle.
C’est là que la fuite de données prend toute son importance : le pirate n’a pas besoin d’accéder à votre compte bancaire s’il parvient à vous convaincre de lui fournir vous-même les informations qui lui manquent.
Il peut ainsi tenter de récupérer un code reçu par SMS, vous demander de valider une opération dans votre application bancaire ou vous convaincre de transférer votre argent vers un prétendu compte sécurisé. Ce dernier n’a évidemment rien de sécurisé, puisqu’il appartient généralement à l’escroc.
Les escrocs n’ont plus besoin de faire des fautes d’orthographe
Les tentatives de phishing grossières sont relativement faciles à repérer, notamment lorsqu’elles sont envoyées massivement à des milliers de personnes avec un message générique, une adresse étrange et une orthographe approximative.
Les choses deviennent beaucoup plus dangereuses lorsque les fraudeurs disposent de données personnelles précises qui leur permettent de personnaliser leurs messages et leurs appels. Un e-mail qui commence par votre nom, mentionne votre mutuelle et fait référence à une situation qui correspond réellement à votre profil aura évidemment beaucoup plus de chances de retenir votre attention qu’un message générique vous annonçant que votre compte doit être vérifié.
C’est précisément cette évolution qui rend les grandes fuites de données aussi préoccupantes, car les informations volées peuvent être utilisées pendant des mois, voire des années, dans des campagnes d’ingénierie sociale destinées à tromper les victimes plutôt qu’à attaquer directement leurs comptes.
Le risque de prélèvement frauduleux existe également
La présence de milliers d’IBAN dans une base compromise pose également la question des prélèvements frauduleux. Là encore, il convient d’éviter les scénarios catastrophistes, car disposer d’un IBAN ne signifie pas qu’un individu peut légalement prélever n’importe quelle somme sur un compte bancaire sans aucune possibilité de réaction.
Des tentatives frauduleuses peuvent néanmoins être effectuées, notamment en utilisant les coordonnées bancaires pour mettre en place des opérations que la victime n’a jamais autorisées. C’est pourquoi une surveillance régulière de son compte reste une précaution particulièrement pertinente après une fuite de données.
Les notifications bancaires peuvent également jouer un rôle très utile, puisqu’elles permettent de détecter rapidement une opération inhabituelle et de contacter sa banque avant que la situation ne prenne davantage d’ampleur.
Le problème vient surtout de l’association des données
Pris séparément, les éléments concernés par cette fuite peuvent sembler relativement anodins. Votre nom n’est évidemment pas secret, votre numéro de téléphone circule probablement déjà dans plusieurs bases commerciales et votre adresse e-mail est utilisée quotidiennement pour recevoir toutes sortes de communications.
Même l’IBAN est régulièrement communiqué à des organismes parfaitement légitimes.
Mais lorsque toutes ces informations sont réunies dans une même base, la situation devient très différente. Nom, adresse, téléphone, e-mail et coordonnées bancaires constituent un profil extrêmement exploitable pour un fraudeur, qui peut alors construire une attaque adaptée à une personne précise plutôt que de lancer une campagne totalement aléatoire.
C’est cette combinaison qui transforme finalement une fuite de données en problème de sécurité à long terme.
La MGP n’est malheureusement pas un cas isolé
Cette nouvelle affaire intervient alors que les fuites de données se multiplient en France et touchent régulièrement des entreprises privées, des organismes publics, des assureurs, des mutuelles ou encore des acteurs de la santé.
Le phénomène est devenu suffisamment fréquent pour qu’une question assez dérangeante finisse par se poser : il ne s’agit plus vraiment de savoir si nos données personnelles se trouvent quelque part dans une base informatique, mais plutôt de savoir combien de bases contenant nos informations ont déjà été compromises et entre quelles mains elles peuvent désormais circuler.
Une adresse e-mail ou un numéro de téléphone peuvent rester exploitables pendant des années, et changer son adresse e-mail ou son numéro de téléphone simplement parce qu’ils ont été exposés dans une fuite n’est évidemment pas toujours envisageable. Il faut donc apprendre à vivre avec cette nouvelle réalité et surtout comprendre comment les informations volées peuvent être utilisées contre nous.
Que faire si vous êtes concerné ?
La première réaction ne doit surtout pas être la panique, car le simple fait que votre IBAN figure dans une base compromise ne signifie pas que votre compte bancaire est sur le point d’être vidé.
En revanche, il est judicieux de surveiller régulièrement ses comptes et de porter une attention particulière aux prélèvements ou opérations inhabituels, tout en activant les notifications bancaires lorsqu’elles sont disponibles. Cette surveillance devient encore plus importante si vous recevez soudainement un appel, un SMS ou un e-mail prétendant provenir de votre banque ou de votre mutuelle.
La règle la plus importante reste toutefois de ne jamais communiquer un code reçu par SMS à une personne qui vous contacte, même si celle-ci connaît déjà votre nom, votre adresse ou certaines informations bancaires. Ces informations peuvent simplement provenir de la fuite et ne constituent absolument pas une preuve de l’identité de votre interlocuteur.
En cas de doute, le réflexe doit être de raccrocher et de contacter directement l’organisme concerné en utilisant son numéro officiel, et non celui fourni par la personne qui vient de vous appeler.
Le véritable danger est finalement humain
Cette affaire illustre parfaitement l’évolution de la cybercriminalité moderne. Les pirates n’ont pas systématiquement besoin de trouver une nouvelle faille informatique ou de contourner les protections sophistiquées d’une banque pour voler de l’argent. Il leur suffit parfois de disposer de suffisamment d’informations pour convaincre une victime qu’ils sont légitimes.
Plus un fraudeur connaît sa cible, plus son discours peut devenir crédible et plus il peut exploiter ce mécanisme psychologique qui nous pousse naturellement à faire confiance à quelqu’un qui semble déjà connaître notre situation.
C’est probablement le principal enseignement de cette nouvelle fuite : la protection d’un compte bancaire ne repose plus uniquement sur un mot de passe ou une authentification forte, mais également sur notre capacité à reconnaître une manipulation.
Un IBAN volé n’est donc pas une clé permettant d’ouvrir directement votre compte bancaire. Il constitue plutôt une pièce supplémentaire dans le puzzle que les cybercriminels tentent de reconstituer autour de leurs victimes.
Et lorsque l’escroc connaît déjà votre nom, votre adresse, votre téléphone, votre mutuelle et votre IBAN, il n’a finalement plus besoin de vous convaincre qu’il vous connaît.
Il lui reste seulement à vous convaincre qu’il est quelqu’un d’autre.
