L'un des plus grands émetteurs de cartes de crédit du pays, Financière Capital One, est la dernière grande entreprise à être touchée par une violation de données, révélant qu'environ 100 millions de personnes se sont fait voler des informations personnelles par un pirate informatique.

Le pirate informatique présumé, Paige A. Thompson, obtenu des numéros de sécurité sociale et de compte bancaire dans certains cas, ainsi que d'autres informations telles que les noms, dates de naissance, cotes de crédit et revenus autodéclarés, la banque a déclaré lundi. Il a déclaré qu'aucun numéro de compte de carte de crédit ou identifiant de connexion n'avait été compromis.

Capital One Financial n'est que la dernière entreprise à subir une violation de données. Seulement la semaine dernière Equifax, la société d'évaluation du crédit, a annoncé un règlement de 700 millions de dollars pour sa propre violation de données en 2017 qui a touché la moitié de la population américaine. Parmi les autres entreprises qui ont subi des infractions, citons la chaîne hôtelière Marriott, géants de la vente au détail Home Depot et Target.

QU'EST-IL ARRIVÉ?

Thompson, 33, qui utilise le pseudo en ligne "erratique, " aurait obtenu l'accès aux données de Capital One stockées sur la plate-forme de cloud computing d'Amazon Amazon Web Services en mars. Elle a téléchargé les données et les a stockées sur ses propres serveurs, selon la plainte.

Thompson était ingénieur système chez Amazon Web Services entre 2015 et 2016, environ trois ans avant l'infraction. La brèche est passée inaperçue par Amazon et Capital One.

Thompson a utilisé le navigateur Web anonyme Tor et un réseau privé virtuel pour extraire les données (méthodes typiques utilisées par les pirates pour essayer de masquer les infiltrations), mais elle s'est ensuite vantée du piratage sur Twitter et d'un groupe de discussion sur Slack, poster des captures d'écran comme preuve de son exploit.

Ce n'est qu'après que Thompson a commencé à se vanter de son exploit dans une discussion de groupe privée avec d'autres pirates informatiques que quelqu'un a contacté Capital One pour les informer le 17 juillet.

Une fois que l'informateur a dit à Capital One, la société a fermé la vulnérabilité. La société a vérifié que ses informations avaient été volées le 19 juillet et a commencé à suivre Thompson et à travailler avec le FBI. Le FBI a perquisitionné la résidence de Thompson lundi et a saisi des appareils numériques. Une recherche initiale a permis de trouver des fichiers faisant référence à Capital One et à "d'autres entités qui pourraient avoir été la cible d'intrusions réseau tentées ou réelles".

QU'EST-CE QUE THOMPSON A PRIS ?

La violation de données concerne environ 100 millions de personnes aux États-Unis et 6 millions au Canada.

Les procureurs ont déclaré qu'un pare-feu Capital One mal configuré permettait à Thompson d'accéder aux dossiers de données hébergés par Amazon Web Services pour la banque. Thompson a envoyé une commande qui a renvoyé une liste de plus de 700 dossiers et a copié les données d'un nombre non spécifié d'entre eux. Capital One a déclaré que la majeure partie des données piratées consistait en des informations fournies par les consommateurs et les petites entreprises qui ont demandé des cartes de crédit entre 2005 et début 2019. Le pirate a également pu accéder à des fragments d'informations transactionnelles à partir de dates en 2016, 2017 et 2018.

La banque a déclaré qu'elle pensait qu'il était peu probable que les informations obtenues aient été utilisées à des fins frauduleuses, mais l'enquête est en cours.

Capital One dit 140, 000 personnes ont eu accès à leur numéro de Sécurité Sociale, et encore 80, 000 ont eu accès à leurs coordonnées bancaires.

COMMENT CAPITAL ONE A GÉRÉ LA VIOLATION ?

Capital One dit qu'une fois qu'il a appris la brèche le 17 juillet, il a immédiatement fermé la vulnérabilité, et il a pu découvrir à quoi Thompson a accédé 36 heures plus tard, le 19 juillet. L'entreprise a pu établir un profil sur Thompson à partir de son enquête interne, et l'a remis au FBI, qui l'a arrêtée 10 jours plus tard, le jour où la banque a révélé l'infraction.

Par contre, il a fallu à Equifax six semaines avant de divulguer publiquement son incident de sécurité, qui était de taille similaire.

QUE FAIRE

Capital One a déclaré qu'il contacterait les personnes concernées en utilisant "une variété de canaux".

Cette banque a déclaré qu'elle mettrait gratuitement la surveillance du crédit et la protection de l'identité à la disposition de toutes les personnes concernées. La société a également déclaré que les consommateurs peuvent visiter www.capitalone.com/facts2019 pour plus d'informations. Au Canada, l'information peut être trouvée à www.capitalone.ca/facts2019 .

Les consommateurs devraient également obtenir des copies de leurs rapports de crédit sur AnnualCreditReport.com. Par la loi fédérale, les consommateurs peuvent recevoir une copie gratuite de leur rapport de crédit tous les 12 mois de chacune des trois grandes agences—Equifax, Experian et TransUnion.

Examinez tous vos comptes et prêts répertoriés pour vous assurer que toutes vos informations personnelles sont correctes et que vous avez autorisé la transaction. Si vous trouvez quelque chose de suspect, contactez la société qui a émis le compte et l'agence de notation.

Vous pouvez également envisager de geler votre crédit, qui empêche les voleurs d'ouvrir de nouvelles cartes de crédit ou de nouveaux prêts à votre nom. Cela peut être fait en ligne. Les consommateurs peuvent geler leur crédit gratuitement en raison d'une loi que le président Donald Trump a signée l'année dernière. Avant ça, les frais étaient généralement de 5 $ à 10 $ par agence de notation.

Vous devrez vous rappeler de débloquer temporairement votre crédit si vous demandez une nouvelle carte de crédit ou un nouveau prêt. Gardez également à l'esprit qu'un gel du crédit ne vous protégera pas contre les voleurs qui produisent une déclaration de revenus frauduleuse en votre nom ou qui portent des frais sur un compte existant.

Vous devez également changer régulièrement vos mots de passe. L'analyste de l'industrie CreditCards.com, Ted Rossman, recommande d'utiliser un agrégateur de mots de passe comme LastPass qui aide à créer des mots de passe uniques pour toutes vos connexions.

© 2019 La Presse Associée. Tous les droits sont réservés.