Pas de responsabilité civile des entreprises lors du vol de données personnelles

Un jugement d'une cour d'appel fédérale US vient de statuer que les clients d'une banque de l'Indiana dont les données personnelles avaient été obtenues frauduleusement par un pirate informatique (sans toutefois donner lieu à une fraude) ne pouvaient exiger une compensation financière de l'institution financière. Consolidant des décisions déjà prononcées dans quatre autres états américains, la cour a en effet estimé que le simple risque d'être à l'avenir victime d'un vol d'identité ne constitue pas un préjudice en soi, et que les victimes n'avaient encore éprouvé aucune perte économique mesurable. Cette décision ne risque pas d'inciter les entreprises à mieux protéger leurs données contre les actes malveillants, ni de contribuer à l'amélioration de la confiance des usagers dans les organisations qui détiennent leurs informations personnelles.

Les 10 principales menaces à la sécurité informatique, selon McAfee

Dans un rare exercice rétrospectif, les laboratoires de McAfee reviennent sur leur blog sur les prévisions faites il y a un an concernant les 10 principales menaces à la sécurité informatique. La boule de cristal semblait un peu embuée sur certains thèmes, mais ça prend pas mal d'humilité pour l'avouer.

Les entreprises peuvent-elles vraiment protéger nos informations personnelles?

Un récent sondage du Ponemon Institute, une entreprise de consultants spécialisée dans les questions de protection de la vie privée, laisse penser que non.

Le sondage, mené aux USA auprès de 700 gestionnaires de sécurité informatique (selon un méthodologie critiquable comme souvent dans ce type d'études) nous donne quelques résultats qui laissent songeur: bien que 85% des répondants aient déclaré avoir été victimes d'incidents ayant menacé l'intégrité des données personnelles de clients ou d'employés de l'entreprise par le passé, moins de la moitié avaient planifié et mis en oeuvre un plan d'action afin d'éviter que ce type d'incident ne se reproduise. L'explication la plus fréquemment avancée était que les entreprises ne croient pas que la compromission des données personnelles dont elles sont les détentrices se traduira par une perte de revenus ou de clientèle.

Il apparaîtrait que cette "pensée magique" relève d'un aveuglement délibéré, puisque les résultats du sondage montrent que:

• 74% des victimes organisationnelles d'une perte ou d'un vol de données déclaraient avoir perdu des clients;
• 59% s'exposaient à des poursuites devant des tribunaux;
• 33% risquaient de recevoir des amendes de la part de diverses autorités règlementaires;
• et 32% avaient vu la valeur de leurs actions baisser à la suite de la divulgation (obligatoire aux USA) de tels incidents.

Ce sondage s'attaque également au mythe des pirates informatiques qui collaboreraient avec le crime organisé pour s'emparer massivement de données personnelles. En effet, presque la moitié des incidents résultaient de la perte ou du vol d'équipements informatiques comme des ordinateurs portables, des téléphones cellulaires professionnels (type BlackBerry ou Treo), des clés USB, etc. La seconde source de vulnérabilité concerne les employés négligents, les employés temporaires et les sous-traitants.

La négligence et l'insouciance des organisations (entreprises et services publics) semble donc à l'heure actuelle une menace bien plus réelle qu'une conspiration mondiale de pirates informatiques alliés aux parrains du crime organisé traditionnel.

Comment cloner une carte de crédit: la vidéo

Le site de vidéo LiveLeak a mis en ligne un documentaire anglais montrant de façon très claire comment les fraudeurs à la carte de crédit ou de débit réussissent à cloner les cartes de leurs victimes sans que ces dernières s'en aperçoivent. Ce document illustre à quel point la technologie des cartes à piste magnétique est obsolète dans un monde où n'importe qui peut se procurer sur internet l'équipement nécessaire pour transformer une carte d'accès ou de fidélisation en sésame de la caverne d'Ali Baba.

Documentaire en anglais

Le photocopieur pourrait bien avaler votre identité

Le Boston Globe reprend une dépêche de l’Associated Press selon laquelle les photocopieurs récents équipés de disques durs pourraient être la cible des voleurs d’identité s’ils ne sont pas adéquatement protégés par des logiciels de cryptage des données. En effet, les machines fabriquées au cours des cinq dernières années scannent les documents avant de les reproduire. Elles sont fréquemment utilisées dans des entreprises ou dans des lieux publics (bibliothèques, commerces de quartier…) pour réaliser des copies de papiers d’identité, de déclarations d’impôts, etc. Leur accès n’est en général pas contrôlé, et les informations personnelles contenues dans les disques durs pourraient donc aisément se retrouver entre de mauvaises mains. Selon un sondage réalisé par l’un des principaux fabricants de photocopieurs, 55% des américains prévoient de conserver une photocopie de leur déclaration d’impôts.

Quand les passeports attrapent des virus

Le gouvernement américain (qui fixe les normes internationales en ce domaine) vient de lancer la production de passeports équipés de puces RFID (ces puces qui émettent un faible signal radio facilitent la traçabilité et l'authentification des objets ou des individus sur lesquels elles sont implantées). Ces passeports seront d'abord émis aux diplomates américains avant d'être généralisés en octobre 2006.

Les puces contiendront les mêmes données que celles figurant déjà par écrit dans le passeport, mais la question de la sécurité réelle que cette nouvelle technologie sera en mesure de garantir fait l'objet de nombreuses questions. En effet, la société hollandaise Riscure a réussi à pirater la version "prototype" locale du passeport RFID en interceptant le signal émis par le passeport à destination de son "lecteur". L'algorithme de cryptage utilisé serait tellemment simple qu'il n'aurait pas fallu à l'équipe de Riscure plus de deux heures et un ordinateur tout à fait ordinaire pour s'emparer des données (identité, photo et empreintes digitales) contenues dans le passeport. Par ailleurs, il serait possible d'intercepter le signal émis par la puce jusqu'à une distance de 2 mètres, ce qui permettrait aux voleurs d'identité de travailler de manière industrielle en "moissonnant" les informations émises par les passeports dans les files d'attentes des aéroports internationaux.

Par ailleurs, un groupe de chercheurs européens et américains présentaient cette semaine le résultat de leurs travaux portant sur la possibilité d'insérer des virus informatiques dans les puces RFID et de les rendre ainsi inopérantes. Que les français se rassurent cependant, les lenteurs de l'Imprimerie Nationale les protègeront certainement contre ce type de désagrèments encore quelques mois... ou quelques années.