Dernières actualités : données personnelles

Numerama – Cyberguerre

Une fuite de données frappe Le Point et une autre Auchan, un demi-million de clients affectés

Auchan piraté

À la liste déjà fort longue d’entreprises françaises victimes de fuites de données, deux noms viennent de s’y ajouter : le magazine Le Point et, surtout, l’enseigne de grande distribution Auchan. L’enseigne de grande distribution a adressé un mail à sa clientèle pour lui signaler une fuite de données. On parle du nom, prénom, mail, adresse postale, numéro de téléphone, date de naissance, et d’informations secondaires (composition du foyer, numéro de la carte de fidélité et montant de la cagnotte).

Disponible sur: numerama.com

L’Usine digitale

Picard victime d’une fuite de données, plusieurs milliers de clients concernés

Après l’annonce d’une cyberattaque chez Free, c’est au tour de Picard d’annoncer avoir été victime d’une fuite de données. Dans un email envoyé à 45 000 clients membres de son programme de fidélité, l’enseigne de surgelés annonce avoir détecté « un accès non autorisé » par un tiers, sans intrusion dans ses systèmes d’information. La Commission nationale de l’informatique et des libertés (Cnil) a été informée, comme l’exige la législation en vigueur. Cet incident de sécurité a pu entraîner « une perte de confidentialité » des données disponibles sur les comptes de fidélité. Sont concernés les noms, prénoms, date de naissance, adresse mail, adresse postale, numéro de téléphone, numéro de carte de fidélité, bons de réduction/avantages éventuels, historique des commandes, tickets de caisse ainsi que la liste d’achats et les favoris de produits. L’entreprise précise que les données bancaires n’ont pas été touchées.

Disponible sur: usine-digitale.fr

L’Usine digitale

Cybersécurité : Schneider Electric victime d’une nouvelle fuite de données

Schneider Electric a annoncé le 4 novembre qu’elle enquêtait sur un “incident de cybersécurité impliquant un accès non autorisé” touchant l’une de ses “plateformes internes de suivi de l’exécution de projets”, a révélé le média spécialisé Bleeping Computer. La société précise que le fonctionnement de ses produits et services n’est pas impacté et qu’elle a mobilisé “immédiatement” une équipe pour répondre à l’incident. Cette déclaration fait suite à un message publié sur X (ex-Twitter) par un acteur malveillant dénommé “Grep”, dans lequel il assurait disposer de privilèges administrateur sur un système interne appartenant à Schneider Electric. Le hacker serait lié au gang de ransomware Hellcat, qui a revendiqué sur le dark web le piratage du serveur Atlassian Jira de la société française.

Disponible sur: usine-digitale.fr

AEPD (autorité espagnole)

Espagne : 100 000 euros d’amende pour un transfert intra-groupe illicite

Ce vendredi 18 octobre, l’AEPD a publié une décision de sanction à l’encontre d’une société pour avoir réalisé un transfert de données personnelles intra-groupe sans base légale.
Le 13 avril 2023, un plaignant a déposé une réclamation auprès de l’Agence Espagnole de Protection des Données (AEPD) contre CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U. pour avoir transmis ses données personnelles sans son consentement à une autre société appartenant au même groupe, Iberdrola Clientes.Le plaignant a indiqué avoir contacté Curenergía pour conclure un contrat d’électricité, mais ses données (y compris son NIF, IBAN, nom, adresse et autres) ont été utilisées pour établir un contrat avec Iberdrola Clientes, une société avec laquelle il n’avait jamais eu de relation commerciale.

L’enquête menée par l’AEPD a révélé qu’il y avait eu une erreur de la part de Curenergía dans la gestion du contrat avec le plaignant. En effet, le même centre d’appel était utilisé par les deux sociétés et, lors du traitement de la demande du plaignant, une confusion a entraîné l’envoi des données personnelles du plaignant à Iberdrola Clientes, ce qui a abouti à l’élaboration d’un contrat erroné. Curenergía a reconnu l’erreur et l’a rectifiée rapidement après que le plaignant a signalé le problème.

Néanmoins, l’AEPD a considéré que Curenergía avait enfreint l’article 6(1) du RGPD en traitant les données du plaignant sans base légale appropriée. L’autorité a infligé à Curenergía une amende de 100 000 €, avec possibilité de réduction en cas de paiement volontaire et de reconnaissance de responsabilité. Curenergía a choisi de payer l’amende réduite à 60 000 €.

Disponible (en espagnol) sur: aepd.es
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

L’Usine digitale

Cybersécurité : Sofinco victime d’une fuite de données, des informations bancaires exposées

Sofinco, filiale du Crédit agricole spécialisée dans les prêts à la consommation, a prévenu certains clients le 16 octobre d’une fuite de données personnelles. Elle affirmait alors avoir détecté une “atteinte à la sécurité de [ses] systèmes informatiques”, avant d’ajouter que certaines données personnelles avaient été exposées. La société, qui compte 11 millions de clients, précise que les données personnelles exfiltrés peuvent comprendre des coordonnées postales et bancaires, mais aussi des copies de pièces d’identité. Elle a par la suite confirmé à Ouest-France que les données avaient été obtenues suite à un incident touchant l’un de ses partenaires, et que la fuite ne concernait qu’une “quantité infime” de clients.

Disponible sur: usine-digitale.fr

L’Usine digitale

Le courtier Meilleurtaux victime d’une cyberattaque, des données sensibles exposées

Meilleurtaux, société française spécialisée dans le courtage en produits financiers, notamment en crédit immobilier et à la consommation, a prévenu le 27 septembre ses clients d’une fuite de données personnelles. “Nous avons détecté une attaque externes sur nos systèmes informatiques à laquelle nous avons mis fin rapidement”, explique le courtier en ligne dans un e-mail. L’entreprise précise que “certaines données personnelles” ont été exposées, à savoir les noms et prénoms des clients, leurs coordonnées postales et téléphoniques, leurs dates et pays de naissance et leur situation familiale. La fuite de données comprend aussi des informations bien plus sensibles, comme le montant des revenus de ses clients et leur situation professionnelle.

Disponible sur: usine-digitale.fr

AEPD (autorité espagnole)

Espagne : sanction d’un établissement de crédit pour traitement illicite après une usurpation d’identité

La semaine dernière, l’autorité espagnole (AEPD) a publié une sanction à l’encontre de la société Wenance Lending de España, S.A. (WELP ou WENANCE), une société de prêt en ligne, par laquelle elle prononce une amende de plus de 70 000 euros. pour violation de l’article 6 du RGPD selon lequel le traitement n’est licite que si une base légale appropriée est applicable.

Comme souvent, cette affaire commence avec la réclamation d’une personne, en l’occurrence, pour un traitement illégal de données personnelles. Le plaignant déclare que le 21 août 2020, il a vu une offre d’emploi sur le site web « milanuncios ». L’annonce indiquait le numéro de téléphone à contacter. Après avoir contacté ce numéro, le plaignant affirme avoir envoyé un selfie de lui-même avec une photo du recto et du verso de sa carte d’identité.
Peu de temps après, il dépose une réclamation affirmant que WELP lui impute une dette qui ne lui correspond pas, puisqu’elle découle de la contraction d’un prêt qui aurait été contracté frauduleusement le même jour.

L’AEPD ouvre une enquête au cours de laquelle il a été constaté que la procédure d’octroi du crédit établie par la défenderesse, en fonction du montant de la créance, était la suivante :
a) Remplir le formulaire de demande en indiquant vos données personnelles.
b) Soumission de la  photo de la pièce d’identité, recto et verso, selfie avec carte d’identité à la main, justificatif de revenus et copie du dernier bulle

[Ajout contextuel Portail RGPD: Autrement dit, l’arnaque était bien ficelée et visait à obtenir précisément ces éléments, ou en tout cas suffisamment afin de pouvoir falsifier le reste aisément.]

L’enquête a par ailleurs confirmé que le compte bénéficiant du prêt n’appartient pas au plaignant mais à une autre personne avec date d’enregistrement 20/08/2020 et date de radiation 15/01/2021. Le compte a été créé le 20 août 2020, un jour avant la conclusion du prêt faisant l’objet de la plainte. Il a été vérifié que l’adresse électronique et le numéro de téléphone utilisés pour contracter le prêt et qui apparaissent dans les bases de données de WELP ne coïncident pas avec l’adresse électronique et le numéro de téléphone que la Banque SANTANDER possède dans ses bases de données et que le plaignant a utilisés pour contacter WELP. Par ailleurs, WELP n’a pas fourni la preuve de la propriété du compte bancaire qu’elle était censée avoir vérifié manuellement pour contracter le prêt.

Compte tenu de ces éléments, l’autorité espagnole considère que le traitement des données à caractère personnel de la plaignante par WENANCE, qui a enregistré un contrat de crédit à la consommation en son nom, n’était couvert par
aucune des bases juridiques énoncées à l’article 6 du RGPD. Elle estime ainsi que la banque a procédé à un traitement illicite de données à caractère personnel et l’a condamné à une amende.

Disponible (en espagnol) sur: aepd.es
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

AEPD (autorité espagnole)

Transmission d’une adresse postale incomplète au fichier des incidents bancaires : une banque espagnole condamnée à une amende de 200 000 euros

Il y a quelques jours, une banque espagnole s’est vue condamnée à payer une amende de 200 000 euros en raison de manquements au principe d’exactitude des données. Cette affaire commence avec un incident bancaire comme il en arrive tous les jours, en l’occurrence en raison d’un solde débiteur sur la carte de crédit de la personne : conformément aux procédures en vigueur, la banque espagnole a signalé cet incident auprès du fichier recensant de telles incidents. Néanmoins, l’adresse communiquée par la banque au gestionnaire du fichier n’était pas « l’adresse exacte du défendeur, et était incomplète ».

Le particulier qui a découvert le pot-au-roses à l’occasion de demandes de crédit, a ainsi déposé une plainte. L’enquête de l’AEPD a montré que la notification d’inscription au fichier des incidents n’avait pas pu être délivrée par les services postaux et était revenue pour raison de « signes incorrects ». Malgré cela, la banque a indiqué au gestionnaire de fichier que l’adresse était bien correcte sans avoir au préalable vérifié auprès de leur client.
Il est notable que cette erreur a eu des conséquences importantes sur le plaignant en raison du refus de ses demandes de crédit, ce qui ne serait peut-être pas arrivé si cette inexactitude avait été corrigée : en effet, la procédure veut qu’avant l’inscription au fichier des incidents bancaires, des demandes de paiement soient envoyées au client : celles-ci n’ont peut-être pas été reçues, même si la banque a signalé lors de l’enquête que les lettres n’avaient pas été retournées. Cela étant dit, il est d’usage de « nettoyer » ses comptes avant de faire des demandes de crédit (afin d’augmenter ses chances), de telle sorte que cette dette aurait probablement été payée si le client en avait eu connaissance.

Quoi qu’il en soit, cette erreur a couté cher à la banque puisque l’AEPD estime que «  » le fait que le défendeur n’ait pas fourni l’adresse exacte du demandeur a causé un grave préjudice à ce dernier, car il n’a pas pu avoir connaissance de son inscription au fichier de solvabilité, étant donné que l’avis d’inscription au fichier de solvabilité a été envoyé à une adresse électronique inexacte, qui n’avait pas été mise à jour par le défendeur, ce qui entraîne une violation du
principe d’exactitude régi par l’article 5.1 d) du RGPD. » La banque a ainsi été condamnée à une amende de 200 000 euros mais n’en a finalement payé « que » 120 000 : la société a reconnu sa responsabilité et a ainsi pu bénéficier d’une réduction, et d’une autre réduction appliquée dans le cas d’un paiement volontaire.

Disponible (en espagnol) sur: aepd.es
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée

AEPD (autorité espagnole) via GDPRHub

La banque 4Finance Spain s’acquitte d’une amende de 360 000€ pour des défauts de sécurité

Le 07 mai 2024, l’AEPD a infligé une amende de 600 000 euros à l’ établissement de crédit 4Finance Spain pour insuffisance des mesures de sécurité, notamment l’absence d’authentification à deux facteurs lors de l’approbation des prêts. Conformément à la loi 39/2015, une loi espagnole concernant les procédures administratives, l’AEPD a informé le responsable du traitement qu’il pouvait reconnaître sa responsabilité dans les violations présumées et/ou payer l’amende proposée. Chacune de ces actions réduit l’amende imposée de 20 %. Le responsable du traitement a choisi de réduire l’amende de 40 %, en reconnaissant sa responsabilité pour les violations et en payant le montant réduit de la sanction de 360 000 €.

En l’espèce, entre août et novembre 2022, le responsable du traitement a reçu plus d’une dizaine de plaintes relatives à des prêts non sollicités étant apparus sur leur compte. Le responsable du traitement a évalué les niveaux de risque et la gravité de ces violations en utilisant une méthode interne basée sur les normes de l’Agence de l’Union européenne pour la cybersécurité (ENISA) et a déterminé qu’il n’était pas nécessaire de notifier la violation à l’AEPD ou aux parties concernées.

De son côté, l’AEPD a également reçu plusieurs plaintes de personnes concernées, qui étaient des clients du responsable du traitement, alléguant des prêts non sollicités similaires sur leurs comptes. Le 14 février 2023, le responsable du traitement a finalement déclaré avoir pris connaissance d’une violation de données affectant les données à caractère personnel de ses clients et employés. La violation a affecté 9636 personnes concernées et comprenait des noms, des dates de naissance, des numéros d’identification nationaux, des numéros d’identité d’étrangers, des numéros de passeport ou de document d’identification, des données de paiement (telles que les banques et les cartes) et des informations de contact. Sur ces personnes, 139 ont été victimes de fraudes consistant à contracter des prêts au nom des personnes concernées et à les contacter via WhatsApp en se faisant passer pour le responsable du traitement et en demandant le remboursement du montant sur un numéro de compte contrôlé par les pirates.

En raison de l’insuffisance des évaluations des risques et des mesures de sécurité du responsable du traitement, ainsi que de l »insuffisance de l’évaluation des risques, l’AEPD a décidé d’engager une procédure de sanction à l’encontre du responsable du traitement et a recommandé une sanction de 600 000 euros, finalement réduite.

Disponible (en anglais) sur: gdprhub.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée

Retour en haut