Achat en ligne : comment réagir en cas de fuite de données ?

Nous sommes de plus en plus à magasiner en ligne, à faire nos achats sur Internet, et spécialement depuis la pandémie, puisqu’on a vu par exemple une augmentation de 30% des cyberachats au Québec entre 2019 et 2021, selon les sondages de l’organisme NETendances.

Malheureusement, l’augmentation des transactions en ligne attire aussi l’augmentation des fraudeurs sur Internet, des cyberattaques et du piratage de données : l’hameçonnage et vol de données personnelles est une réalité de notre ère où on donne de plus en plus d’informations en ligne.

Il peut ainsi arriver que l’on se retrouve dans une situation de fuite de données, c’est-à-dire que plusieurs données privées et personnelles, comme un numéro de carte de crédit, ont été piratées par une tierce partie, menaçant par exemple vos comptes bancaires ou votre identité.

On peut mentionner par exemple la banque Desjardins au Québec, qui avait révélé en 2019 avoir été victime d’une grande fuite de données, dont le responsable était un employé malveillant et mal intentionné, ou encore la société d’évaluation de crédit Equifax qui avait été victime d’un énorme vol de données en 2017, affectant des millions de citoyens américains.

Alors avec l’augmentation de ce genre d’incidents, on peut se poser la question : comment réagir en cas de fuite de données ?

Que peut-on faire pour limiter les dégâts ? Mais aussi, comment prévenir ce genre d’incident ?

Comment mieux protéger des informations sensibles et renseignements personnels que l’on doit garder privés ?

Voici quelques informations utiles à propos d’une réalité du commerce en ligne, et d’un phénomène dont on doit être conscient lorsqu’on magasine en ligne, car personne n’est à l’abri d’éventuelles failles de sécurité, même les plus gros sites.

Qu’est-ce qu’une fuite de données ?

Avant tout, commençons par préciser ce que l’on entend par une fuite de données.

On désigne par là le fait que des données destinées à rester privées sortent de ce cadre privé et soient exposées à une personne ou entité pouvant alors utiliser ces données, ce qui est contre la loi.

En gros, des données dites « sensibles » qui fuient soit par accident, soit par cyberattaque de pirates informatiques, et sont ensuite possiblement exposées sur Internet, et notamment à pouvoir être utilisées par des cybercriminels, parfois revendues sur le Dark Web.

Le cas le plus fréquent concerne des bases de données, ces données personnelles stockées par plusieurs entreprises, dont les boutiques en ligne : ces bases de données sont parfois volées, dérobées par une entité malveillante, sans droit légal d’accéder à ces données.

Malgré les protections et nombreuses sécurités en ligne, il peut cependant arriver que des bases de données soient piratées, de l’extérieur de l’entreprise, mais également parfois à l’intérieur de l’entreprise, lorsqu’un employé malhonnête ne respecte pas les clauses de confidentialité et décide volontairement de voler des données.

Les fuites de données les plus graves sont généralement celles qui impliquent des numéros de cartes bancaires, puisqu’elles peuvent être utilisées et partagées, mais l’on peut aussi penser aux numéros de passeport, comme cela avait été le cas en 2018 avec la chaîne américaine des hôtels Marriott qui avait été victime d’une fuite de données.

Dans les données personnelles ou sensibles, on peut mentionner l’adresse postale, le numéro de téléphone, des photos ou vidéos, en plus des coordonnées bancaires et numéros de carte de crédit.

La gravité variera selon le type de données volées, comme par exemple un numéro de sécurité sociale ou de passeport, qui peut être utilisé pour une usurpation d’identité.

Dans les données sensibles, on peut aussi mentionner des atteintes à la vie privée, comme lorsque des données et identifiants sont révélés pour des sites coquins ou des sites où l’on utilise des pseudonymes sans révéler son vrai nom.

Dans tous les cas, que ce soit pour des particuliers à un niveau personnel, ou pour des entreprises, les fuites de données peuvent avoir de graves conséquences.

Le vol de données confidentielles est considéré comme un crime par la loi.

Comment savoir si l’on a été victime d’une fuite de données ?

Dans certains cas, l’entreprise ou l’organisme pourra vous prévenir d’une fuite de données, si l’organisation se rend compte qu’une banque de donnée a été piratée, et décide de communiquer avec tous les membres concernés, en envoyant un courriel ou une lettre à tous ses clients, ou encore en publiant un message sur les réseaux sociaux.

Cependant, il arrive souvent que les fuites de données ne soient pas tout de suite identifiées, ou que l’on ne soit pas forcément informé, par exemple lorsqu’un gros site de streaming en ligne est victime d’un vol de données, et n’informe pas forcément ses millions d’utilisateurs.

L’autre moyen de savoir est d’utiliser des sites qui référencent les fuites de données et différents incidents de cyber-sécurité.

Le plus connu est le site indépendant Have I Been Pwned? , géré par l’Australien Troy Hunt, qui permettent de retracer avec votre adresse courriel ou numéro de téléphone les éventuelles fuites de données liées à des incidents répertoriés.

Le site Firefox Monitor est aussi un moyen de vérification en ligne.

Vous serez parfois surpris de découvrir des incidents de cybersécurité liés à votre adresse courriel sur des sites comme Dropbox, Facebook, Myspace ou encore le transporteur aérien TAP Air.

Fuite de données : quelles mesures prendre ?

Si vous avez bel et bien été victime d’une fuite de vos données personnelles, selon la situation, il y a plusieurs choses que vous pourriez faire.

Opposition carte de crédit

Une des situations les plus préoccupantes est celle d’une fuite de données bancaires, incluant un numéro de carte de crédit.

Dans ce cas-là, on pourra suivre la même procédure que lors d’un vol de carte bancaire, à savoir appeler sa banque et faire opposition sur la carte concernée, pour prévenir d’éventuelles fraudes et transactions.

Changement des mots de passe

Si un mot de passe a été trouvé par un pirate ou hacker, il peut être une bonne idée d’aller changer son mot de passe sur toutes les plateformes possibles, car un criminel pourrait alors tenter d’utiliser ce mot de passe pour pirater vos autres comptes et plateformes, si vous utilisez le même partout…

Même si les connexions sont de plus en plus renforcées comme la validation en deux étapes avec un numéro de téléphone, la prudence reste de mise lorsqu’on gère ses mots de passe, et les changer régulièrement reste un bon moyen de prévenir les attaques.

Et si tout le monde voudrait garder ça simple avec un seul mot de passe-partout, la réalité de la menace de l’hameçonnage et autres piratages de données nous force aujourd’hui à redoubler de prudence en utilisant des mots de passe plus robustes, et les validations en plusieurs étapes quand c’est possible.

Mesures préventives

Même si l’on ne peut évidemment pas contrôler ces incidents de piraterie Internet qui arrivent parfois à grande échelle chez de grosses entreprises ou organisations, on peut cependant prendre certaines mesures préventives, pour limiter les dégâts, mais aussi les risques.

On peut commencer par donner le moins d’informations personnelles possibles lorsqu’on remplit un formulaire en ligne, donc ne pas donner sa date de naissance ou son adresse lorsque ce n’est pas obligatoire.

Utiliser des plateformes de paiement sécurisées comme Paypal, Google ou Apple Pay, limite aussi les risques, plutôt que de rentrer directement ses coordonnées bancaires dans la plateforme d’un marchand en ligne.

On peut évidemment mentionner l’importance d’un mot de passe robuste, même si on a souvent tendance à mettre un mot de passe simple et facile à retenir comme le nom des enfants et date de naissance, il faut penser que plus le niveau de sécurité et élevé, moins le compte aura de chances d’être hacké ou piraté.

Gestionnaire de mot de passe : Pour gérer l’authentification avec des mots de passes multiples et compliqués sans se casser la tête pour les retenir et les noter à la main, une solution est d’utiliser une application de gestionnaire de mot de passe, comme NordPass ou LastPass, qui permet non seulement de mémoriser de manière sécuritaire tous vos mots de passe, mais aussi de générer des mots de passes robustes et sécuritaires.

Enfin, il est conseillé d’utiliser un même compte comme avec une adresse Google ou un compte Facebook pour se connecter lorsque cela est possible, plutôt que de créer un nouveau compte à chaque fois sur le site d’un nouveau commerçant : car plus vous créerez de comptes, plus vous aurez de données privées en ligne sujettes à d’éventuelles fuites.

La prudence est donc de mise lorsqu’on donne des renseignements en ligne, et il est d’ailleurs utile d’apprendre à repérer si une boutique en ligne est fiable ou non.