Que signifie la violation de données Optus pour vous et comment pouvez-vous vous protéger ?

Optus, la deuxième plus grande entreprise de télécommunications d’Australie, a annoncé le 22 septembre que les détails d’identification de jusqu’à 9,8 millions de clients avaient été volés dans sa base de données clients.

Les détails, datant de 2017, incluent les noms, dates de naissance, numéros de téléphone, adresses e-mail et – pour certains clients – adresses et numéros de permis de conduire ou de passeport.

En vertu de la loi australienne, les fournisseurs de télécommunications sont tenus de conserver vos données tant que vous êtes leur client et pendant deux ans supplémentaires, mais peuvent conserver les données plus longtemps à leurs propres fins commerciales.

Cela signifie que si vous êtes un ancien client d’Optus, vos données pourraient également être impliquées – bien que l’on ne sache toujours pas combien de temps les détails des anciens clients ont été conservés.

Les données volées constituent un ensemble presque complet d’informations d’identité sur un nombre important d’Australiens. Optus déclare avoir informé les personnes concernées, mais de nombreuses questions demeurent.

Qu’advient-il ensuite de vos données et que peut faire l’Australien moyen pour se protéger des menaces posées par cette violation de données sans précédent ?

Qu’adviendra-t-il des données ?

À la fin de la semaine dernière, une affiche anonyme sur un forum Web sombre a publié un échantillon de données apparemment issues de la violation, avec une offre de ne pas vendre les données si Optus paie une rançon de 1 million de dollars. Bien que la légitimité n’ait pas encore été confirmée, il est peu probable que les attaquants suppriment les données et passent à autre chose.

Plus probablement, les données seront distribuées sur le dark web (vendues dans un premier temps, mais éventuellement disponibles gratuitement). Les cybercriminels utilisent ces données pour commettre des vols d’identité et de fausses demandes de crédit, ou utilisent vos informations personnelles pour gagner votre confiance dans les attaques de phishing.

Ci-dessous, nous décrivons plusieurs étapes que vous pouvez suivre pour vous défendre de manière proactive et comment détecter et répondre aux données malveillantes et à l’abus d’identité.

Que dois-je faire si j’ai été affecté ?

Étape 1 : Identifiez vos comptes les plus vulnérables et sécurisez-les

Faites une liste de vos comptes les plus vulnérables. Quels comptes bancaires avez-vous ? Qu’en est-il des comptes de retraite ou de courtage ? Avez-vous des informations médicales importantes sur les services que les voleurs peuvent utiliser contre vous ? Dans quels comptes les détails de votre carte de crédit sont-ils stockés ? Amazon et eBay sont des cibles communes car les gens conservent souvent les informations de carte de crédit stockées sur ces comptes.

Vérifiez ensuite comment une réinitialisation de mot de passe est effectuée sur ces comptes. Nécessite-t-il uniquement l’accès à vos messages texte ou à votre compte de messagerie ? Si tel est le cas, vous devez également protéger ces comptes. Envisagez de mettre à jour votre mot de passe avec un nouveau mot de passe – jamais utilisé auparavant – pour chaque compte par mesure de précaution.

De nombreux comptes permettent l’authentification multifacteur. Cela ajoute une couche supplémentaire pour que les criminels puissent percer, par exemple en demandant un code supplémentaire à saisir. Activez l’authentification multifacteur sur vos comptes sensibles, tels que les comptes bancaires, de retraite et de courtage.

Idéalement, utilisez une application comme Google Authenticator ou Microsoft Authenticator si le service le permet, ou un e-mail qui n’est pas répertorié avec Optus. Évitez d’avoir des codes envoyés à votre numéro de téléphone Optus car il a un risque plus élevé d’être volé.

L’une des préoccupations les plus immédiates serait d’utiliser les données divulguées pour compromettre votre numéro de téléphone, ce que de nombreuses personnes utilisent pour leur authentification multifacteur. Le piratage de la carte SIM – faire en sorte qu’un opérateur de téléphonie mobile donne accès à un numéro de téléphone qu’il ne possède pas – constituera une menace sérieuse.

La plupart des opérateurs vous permettent d’ajouter un code PIN verbal comme deuxième étape de vérification, pour éviter le détournement de la carte SIM. Bien qu’Optus ait temporairement verrouillé les cartes SIM, il est peu probable que le verrouillage dure. Appelez votre fournisseur et demandez qu’un code PIN verbal soit ajouté à votre compte. Si vous perdez soudainement tout le service cellulaire dans des circonstances inhabituelles, contactez votre opérateur pour vous assurer que vous n’êtes pas connecté à votre carte SIM.

Pour prévenir le vol d’identité, vous pouvez placer un gel à court terme (ou gel de crédit) sur vos vérifications de crédit. Ceux-ci peuvent aider à empêcher les criminels de contracter un crédit en votre nom, mais cela rend difficile la demande de crédit même pendant le point de congélation. Les trois principales sociétés d’évaluation du crédit Experian, Illion et Equifax offrent ce service.

Si vous ne pouvez pas geler votre crédit parce que vous avez besoin d’y accéder vous-même, Equifax offre un service d’alerte de crédit payant pour vous informer d’une vérification de crédit sur votre identité. Si vous recevez une alerte de crédit suspecte, vous pouvez arrêter le processus rapidement en contactant le service qui a demandé le rapport.

Étape 3 : Améliorer la cyber-hygiène

Ces fractures n’existent pas dans le vide. Les informations personnelles volées à Optus peuvent être utilisées avec d’autres informations que les cybercriminels trouvent sur vous en ligne ; les médias sociaux, le site Web de votre employeur, les forums de discussion et les violations passées fournissent des informations supplémentaires.

De nombreuses personnes ont sans le savoir été victimes de cyber-violations dans le passé. Vous devez vérifier quelles informations vous concernant sont disponibles pour les cybercriminels en cochant HaveIBeenPwned. HaveIBeenPwned est géré par l’expert australien en sécurité Troy Hunt, qui gère une base de données de données divulguées connues.

Vous pouvez rechercher vos comptes de messagerie sur le site Web pour obtenir une liste des violations dans lesquelles ils ont été impliqués. Réfléchissez aux mots de passe utilisés par ces comptes. Utilisez-vous ces mots de passe ailleurs ?

Soyez très prudent lors de la confirmation des e-mails et des SMS. Les fraudeurs utilisent les informations divulguées pour rendre les tentatives de phishing plus crédibles et ciblées. Ne cliquez jamais sur les liens envoyés par SMS ou par e-mail. Ne présumez pas que quelqu’un qui appelle d’une entreprise est légitime, obtenez le numéro de support client sur son site Web et appelez-le à ce numéro.

La création de mots de passe uniques et sécurisés pour chaque service est votre meilleure défense. L’utilisation d’un gestionnaire de mots de passe a été simplifiée – de nombreuses applications gratuites sont disponibles – pour gérer vos mots de passe. Ne réutilisez pas les mots de passe sur plusieurs services, car ils peuvent être utilisés pour accéder à d’autres comptes.

Si vous n’utilisez pas de gestionnaire de mots de passe, vous devez au moins conserver des mots de passe uniques sur vos comptes les plus vulnérables et éviter d’en conserver des enregistrements numériques dans des e-mails ou des fichiers informatiques tout en conservant les mots de passe écrits dans un endroit sûr et sécurisé.

J’ai été piraté, et maintenant ?

Parfois, vous pouvez tout faire correctement et être victime d’une violation, alors comment savoir si vous avez été piraté et que pouvez-vous faire à ce sujet ?

Si vous recevez des appels téléphoniques, des courriels ou des lettres d’institutions financières concernant un prêt ou un service dont vous ne savez rien, appelez l’institution et clarifiez la situation.

Vous devez également contacter IDCare, une organisation à but non lucratif conçue pour aider les victimes de cyberattaques et d’usurpation d’identité, pour obtenir des conseils supplémentaires. Vous pouvez également signaler la cybercriminalité, y compris l’usurpation d’identité, via CyberReport.

Les auteurs ne travaillent pas pour, ne consultent pas, ne possèdent pas d’actions ou ne reçoivent de financement d’aucune entreprise ou organisation qui bénéficierait de cet article, et n’ont divulgué aucune affiliation pertinente au-delà de leur nomination universitaire.

/Avec l’aimable autorisation de La Conversation. Ce matériel de l’organisation/des auteurs d’origine peut être de nature ponctuelle, modifié pour plus de clarté, de style et de longueur. Les points de vue et opinions exprimés sont ceux des auteurs.