Fuite de données Salt possible: le plus grand risque est à venir
Salt n'a pas détecté d'intrusion dans ses systèmes, mais un accès à un système secondaire a été détourné. Ce qui est confirmé, ce qui reste ouvert – et comment les clients doivent réagir.
L'information la plus importante concernant la fuite de données potentielle chez Salt est aussi la plus grande restriction: l'affaire n'est pas encore entièrement élucidée. Le groupe de télécommunications a informé ses clients qu'il n'avait détecté aucune intrusion dans ses propres systèmes suite aux allégations apparues sur Internet. Cependant, un abus d'accès existant à un système secondaire a été identifié.
Ainsi, il n'est ni prouvé que tous les jeux de données allégués sont réels, ni que l'incident est inoffensif. Selon les informations connues jusqu'à présent, des noms, adresses postales, numéros de téléphone et dates de naissance pourraient être concernés. Le nombre de personnes touchées, l'opérateur du système secondaire, la durée de l'abus d'accès et si les données ont effectivement été entièrement exfiltrées, restent publiquement inconnus.
Pourquoi les «simples données de base» ne rassurent pas
Les informations mentionnées ne sont pas des mots de passe. Elles peuvent cependant rendre les tentatives de fraude plus crédibles. Toute personne connaissant le nom, l'adresse de résidence, le numéro de téléphone et la date de naissance peut formuler un message de manière à ce qu'il ressemble à une véritable communication de Salt, une notification de colis ou un appel d'une banque. Le Centre national pour la cybersécurité (NCSC) avertit que les données personnelles volées peuvent être utilisées des années plus tard pour le phishing, la prise de contrôle de comptes, l'usurpation d'identité ou la fraude financière.
Le risque concret réside donc moins dans un débit immédiat que dans la combinaison: un numéro de téléphone connu facilite le smishing par SMS, une date de naissance peut être utilisée abusivement dans des processus de vérification mal protégés, une adresse correcte augmente la crédibilité. Il n'en découle pas qu'un tel abus ait déjà été observé chez Salt. Cela explique cependant pourquoi les personnes concernées devraient être particulièrement vigilantes dans les mois à venir.
Que doivent faire les clients maintenant
Les messages inattendus ne doivent pas être ouverts via le lien fourni. Toute personne recevant une facture, une menace de blocage ou une demande de «vérification» doit accéder à son compte client via l'adresse salt.ch saisie manuellement ou l'application officielle. Les codes provenant de SMS ou d'applications d'authentification ne doivent jamais être saisis dans un chat ni transmis à un prétendu employé du support.
Un changement préventif de mot de passe est particulièrement judicieux si le même mot de passe est utilisé pour plusieurs services. Pour le compte e-mail, un mot de passe unique avec authentification à deux facteurs est essentiel, car de nombreux autres comptes peuvent être réinitialisés via celui-ci. Les clients doivent également vérifier les factures Salt et les notifications concernant les modifications de la carte SIM ou eSIM. En cas de panne de réseau inattendue ou d'activation de carte SIM inconnue, le fournisseur doit être contacté directement via un canal officiel.
Toute personne ayant déjà saisi des données bancaires ou de carte de crédit sur une page liée doit contacter immédiatement l'établissement financier. Les messages suspects peuvent être signalés au Centre national pour la cybersécurité (NCSC). Une plainte auprès de la police est recommandée en cas de préjudice financier ou d'usurpation d'identité concrète.
Quelles obligations impose la loi sur la protection des données
La loi suisse sur la protection des données distingue une violation de la sécurité et l'obligation de la signaler. Les responsables doivent signaler une violation au Préposé fédéral à la protection des données et à la transparence (PFPDT) le plus rapidement possible si elle est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux. Un prestataire de services mandaté doit, de son côté, signaler l'incident à l'entreprise responsable le plus rapidement possible.
Les personnes concernées doivent être informées si cela est nécessaire à leur protection ou si le préposé à la protection des données l'exige. Le fait qu'un seuil de «risque élevé» soit atteint dépend non seulement du nombre de jeux de données, mais aussi de leur type, de leur combinaison, de leur utilisation abusive potentielle et des mesures de protection prises. L'information client seule ne permet pas de déduire si Salt a soumis une notification au PFPDT.
Les questions ouvertes sont vérifiables
Pour une analyse solide, il faut plus que la formule «système secondaire». Salt devrait révéler quelles catégories de données ont été réellement affectées, combien de personnes ont été notifiées, si un sous-traitant externe était impliqué et quels droits d'accès ont été modifiés. Il est également pertinent de savoir si les données en question ont été seulement alléguées ou techniquement vérifiées sur le réseau.
Tant que ces points ne sont pas éclaircis, il serait erroné de parler d'une intrusion confirmée dans les systèmes centraux de Salt. Il serait tout aussi erroné de minimiser l'importance des données de base. La voie du milieu raisonnable est sobre: pas de panique, pas de liens non vérifiés – et une vigilance accrue, surtout si un message connaît un nombre étonnamment élevé de détails personnels.
