Les pirates ont soumis des demandes CERB en utilisant 12 700 comptes authentiques de l’ARC
Cette année-là, le gouvernement fédéral a lancé le programme de la Prestation canadienne d’urgence, qui vise à aider les Canadiens financièrement touchés par la pandémie en leur versant jusqu’à 2 000 $ par mois.
Pendant les mois d’été, des dizaines de milliers de tentatives de connexion suspectes ont été faites pour profiter du programme.
Les pirates ont pu se connecter à au moins 48 110 profils de l’ARC en utilisant les informations d’identification correctes pendant la violation. Parmi ceux-ci, 21 860 n’ont plus vu d’activité frauduleuse après la connexion non autorisée.
“Il s’agit potentiellement d’une étape de l’attaque où l’acteur de la menace a fait fonctionner les informations d’identification”, indiquent les documents judiciaires.
Cependant, pour 12 700 contribuables canadiens, les renseignements sur le dépôt direct de l’ARC ont été modifiés. Parfois, plusieurs demandes CERB ont été soumises via un seul profil. Les pirates ont même réussi à faire des demandes monétaires.
La violation a donné lieu à un vaste recours collectif contre le gouvernement canadien. Il est dirigé par Todd Sweet, un ancien policier basé à Clinton, en Colombie-Britannique, qui a été victime de l’escroquerie.
La Cour fédérale agréé le recours collectif de jeudi, neuf mois après que Sweet l’ait demandé, est classé dans la catégorie un.
Le 2 juillet 2020, Sweet a reçu des courriels l’informant que son adresse électronique avait été retirée de son compte en ligne de l’ARC.
Lorsqu’il a examiné la question, il a découvert que ses informations de dépôt direct avaient été modifiées. Quelques jours seulement avant sa notification, quatre demandes de CERB avaient déjà été soumises frauduleusement via son compte.
Le procès allègue que l’ARC “était au courant d’une augmentation des activités frauduleuses au début de chaque période mensuelle CERB et CESB et généralement pendant la période en question, mais n’a rien fait pour informer ou avertir le demandeur”.
Jusqu’à présent, le gouvernement canadien a fait valoir que Sweet se concentre sur l’utilisation des outils de service fédéraux existants, tels que le site Web de l’ARC, pour mettre en œuvre le programme CERB et s’y oppose.
Sweet soutient que ses allégations ne portent pas sur cela, mais sur les protocoles de sécurité inadéquats qui n’ont pas protégé les Canadiens qui se sont inscrits aux services en ligne de l’ARC, espérant que leurs données personnelles et financières resteraient entre de bonnes mains.
