La chute de la maison Equifax continue de faire des vagues

Aux États-Unis, l’un des éléments d’identité les plus importants pour un particulier est son credit score, c’est-à-dire sa note de crédit. Cette information va décider de sa capacité à emprunter, aussi bien pour de gros achats (maison, voiture ou prêt universitaire) que pour régler ses achats du quotidien via des cartes de crédit, toujours nettement plus utilisées dans le pays que nos classiques cartes de débit. Du coup, les quatre bureaux de crédits américains ont un rôle vital et détiennent des informations financières et personnelles sur une grande partie de la population. L’annonce, début septembre, que l’un d’entre eux, Equifax, a été victime en juillet 2017 d’un piratage informatique a fait l’effet d’une petite bombe dans le secteur financier américain. En effet, pas moins de 145,5 millions de citoyens américains – soit près de la moitié des 325 millions de citoyens que comptent les États-Unis – et 8 000 citoyens canadiens ont pu ainsi voir leurs données exposées aux voleurs. Plus grave, cette attaque n’a été possible que parce qu’une faille dans les serveurs Apache n’a pas été colmatée à temps, alors qu’une rustine était disponible depuis le mois de mars, soit cinq mois avant l’attaque !

Les données volées étant des informations que les porteurs de cartes ne peuvent changer (numéro de sécurité sociale ou date de naissance), elles ont pu depuis servir à ouvrir de nouvelles demandes, frauduleuses, de carte de crédit. Pour empêcher de telles actions, les particuliers doivent demander à être retirés du service d’Equifax, ce qui leur interdit en retour toute modification dans la gestion de leurs cartes (y compris le renouvellement normal).

Les banques américaines demandent aujourd’hui un renforcement des procédures antifraude : « Nous devons apporter des filtres supplémentaires pour nous assurer que nous discutons avec la bonne personne, affirme John Gerspach, CFO de Citigroup, au Financial Times. Nous avons d’autres techniques et d’autres questions [d’identification] que nous pouvons poser qui ne sont pas dans la base de données qui a été piratée. » Ces techniques, comme l’identification vocale ou la biométrie comportementale, étaient pour l’instant vues comme trop intrusives vis-à-vis des clients. Après un piratage d’une telle ampleur, elles devraient connaître un regain d’intérêt.