Qu'est-ce qu'une violation de données et comment pouvez-vous vous protéger ?

Si vous suivez l'actualité de la sécurité, vous avez probablement entendu des gens parler de grandes entreprises victimes de violations de données. Et vous pourriez vous inquiéter de la façon dont ces violations peuvent vous affecter en tant qu'utilisateur.

Alors, qu'est-ce qu'une violation de données ? C'est ce que nous allons vous expliquer ci-dessous, avec des conseils pour vous protéger contre de futures violations.

Incident de sécurité, violation de sécurité, violation de données :quelle est la différence ?

Le terme général pour une entreprise ou une organisation piratée ou attaquée numériquement est un incident de sécurité . Cela couvre un large éventail de problèmes tels que les infections par des logiciels malveillants, les tentatives d'hameçonnage, les attaques par déni de service distribué et la perte ou le vol d'équipements par les employés.

Un incident de sécurité peut ou non compromettre la sécurité de l'organisation. Si les attaquants réussissent à compromettre la sécurité de l'organisation, cela s'appelle une brèche de sécurité .

Une violation de données est un type spécifique de faille de sécurité. C'est là que les attaquants réussissent à accéder à des données auxquelles ils n'auraient pas dû pouvoir accéder. En règle générale, les attaquants réalisent une faille de sécurité, puis volent des données, ce qui entraîne une violation de données.

Mais il peut également y avoir d'autres types de violation de données. Par exemple, une organisation peut accidentellement laisser des données sensibles dans un emplacement non sécurisé. Si des personnes peuvent accéder à des données auxquelles elles ne devraient pas pouvoir accéder, il s'agit d'une violation de données.

 Quels sont les exemples de certaines violations de données célèbres ?

L'une des plus grandes violations de données de ces dernières années a été révélée en 2018. Des pirates avaient attaqué Facebook et ont pu voler des informations sur environ 30 millions d'utilisateurs. Ils ont effectué l'attaque via les API de développeur Facebook (interface de programmation d'application) et ont pu obtenir des informations sur les utilisateurs telles que leurs noms, sexes et villes d'origine.

Une autre violation de données célèbre s'est produite à Equifax en 2017. Equifax est une grande société d'évaluation du crédit et détient des données sur un grand nombre d'Américains. Les pirates ont pu obtenir un accès initial aux systèmes de l'entreprise via un portail Web de réclamation des consommateurs en utilisant une vulnérabilité bien connue.

Ensuite, ils ont utilisé le portail Web pour accéder à d'autres parties du réseau. Ils ont trouvé des noms d'utilisateur et des mots de passe stockés en texte brut (ce qui est une énorme erreur de sécurité). Ils ont ensuite utilisé ces mots de passe pour voler des données telles que des noms, des adresses, des numéros de sécurité sociale et des dates de naissance. Au total, la faille a potentiellement touché jusqu'à 145 millions de personnes.

La banque et la société de cartes de crédit Capital One ont également subi une violation de données en 2019. Les pirates ont pu voler les noms, adresses, cotes de crédit et numéros de sécurité sociale de plus de 100 millions de clients.

L'entreprise avait mal configuré un pare-feu d'application Web, et un pirate informatique a pu l'exploiter pour accéder au système. Le pirate informatique était un ingénieur logiciel qui avait auparavant travaillé pour la société d'hébergement Web de Capital One, Amazon Web Services.

 Comment se produisent les violations de données ?

Les violations de données peuvent se produire de plusieurs façons. Selon un rapport de Kastle Systems, la cause la plus fréquente de violation de données est le piratage, suivi d'une mauvaise sécurité. Les pirates ont utilisé des logiciels malveillants dans près de 50 % des violations de données. Ils ont utilisé l'ingénierie sociale dans un quart des violations.

Les pirates peuvent introduire des logiciels malveillants sur l'ordinateur d'une cible par le biais de techniques telles que le courrier indésirable. Un e-mail incitera un utilisateur à cliquer sur un lien qui télécharge des logiciels malveillants sur son appareil. Une autre façon de pirater un système consiste à utiliser des attaques d'ingénierie sociale comme le phishing. C'est là que les pirates créent un faux site Web et incitent les utilisateurs à saisir leur nom d'utilisateur et leur mot de passe sur le site.

Les pirates peuvent ensuite copier ces noms d'utilisateur et mots de passe et les utiliser pour accéder à des systèmes sécurisés.

Parfois, les organisations concernées commettent des erreurs qui entraînent des violations de données. Par exemple, un employé peut perdre l'ordinateur de son entreprise ou se le faire voler. Si des cybercriminels mettent la main sur cet ordinateur, ils peuvent l'utiliser pour accéder aux systèmes de l'entreprise.

Ou, comme on l'a vu dans le cas d'Equifax, une organisation peut avoir de mauvaises pratiques de sécurité telles que le stockage des mots de passe dans le texte du plan. Cela permet aux pirates de voler plus facilement des données.

Affecté par une violation de données ? Voici ce qu'il faut faire

Avec autant d'entreprises victimes de violations de données, il est fort probable que vous en soyez affecté. Par conséquent, une excellente ressource pour savoir si vos informations ont fait partie d'une violation est le site Web HaveIBeenPwned.com. Vous pouvez entrer votre adresse e-mail sur ce site pour voir si vous avez été affecté par une violation de données.

Si vos informations ont été incluses dans une violation de données, ne paniquez pas. Tout d'abord, vérifiez quels sites sont responsables de la violation. Maintenant, allez sur chacun de ces sites et changez immédiatement votre mot de passe. Cela devrait suffire à vous protéger dans la plupart des cas.

Parfois, vous devrez prendre des mesures plus radicales. Ce serait le cas si la violation a affecté votre banque, par exemple, ou si des données très sensibles telles que votre numéro de sécurité sociale ont été divulguées. Dans ces cas, vous voudrez peut-être geler votre crédit, commencer à utiliser un service de surveillance du crédit et/ou vérifier vos rapports de solvabilité pour vous assurer que personne ne fait quoi que ce soit de suspect en votre nom.

Si vous pensez que quelqu'un d'autre a ouvert un compte à votre nom, contactez le service des fraudes de l'institution et informez-le.

Comment pouvez-vous vous protéger contre les violations de données ?

Afin de vous protéger contre les violations de données, vous pouvez prendre plusieurs mesures :

• Utilisez des mots de passe forts . Vos mots de passe devraient idéalement être un mélange de chiffres, de lettres et de caractères spéciaux. De plus, vous ne devez jamais réutiliser le même mot de passe pour plusieurs sites ou connexions. Enfin, ne partagez jamais vos mots de passe avec qui que ce soit.
• Utilisez HTTPS lorsque vous naviguez sur le Web . L'utilisation de HTTPS garantit que vous vous connectez aux sites en toute sécurité. Cela rend plus difficile pour les pirates d'intercepter vos données.
• Soyez à l'affût des spams, hameçonnages et autres communications suspectes . Faites attention à ce sur quoi vous cliquez, surtout si vous avez reçu un e-mail non sollicité ou si vous naviguez sur un site Web peu fiable.
• Maintenez vos appareils et logiciels à jour . La mise à jour des systèmes d'exploitation et d'autres logiciels peut être pénible. Mais c'est un moyen essentiel de se protéger des attaques. Lorsqu'une vulnérabilité de sécurité est révélée, les entreprises mettent à jour leur logiciel pour se protéger contre la vulnérabilité. Si vous ne mettez pas à jour, vous laissez un gros trou dans votre sécurité.
• Vérifiez régulièrement vos rapports de solvabilité . Si vous pensez que quelqu'un pourrait avoir volé vos données, il pourrait les utiliser pour retirer une carte de crédit à votre nom. Donc, vous voudrez peut-être utiliser un service de surveillance du crédit. Cela vous enverra des alertes si l'entreprise détecte une activité suspecte sur vos comptes.

Prenez des mesures pour vous protéger contre les violations de données

Avec ces informations, vous pouvez être prêt pour la possibilité d'une violation de données. Et en suivant les étapes décrites ci-dessus, vous pouvez réduire le risque que vous soyez victime d'une violation de données à l'avenir.

Si vous travaillez avec des données dans le cadre de votre travail, vous devez également réfléchir à la façon dont les pirates pourraient cibler votre organisation. Pour en savoir plus, consultez nos conseils de gestion des données pour éviter les failles de sécurité au travail.