Le 15 avril dernier, l’Agence nationale des titres sécurisés (ANTS) a "détecté un incident de sécurité" pouvant impliquer des données de particuliers et de professionnels, a-t-on appris ce lundi 20 avril.
Le portail de l’Agence nationale des titres sécurisés (ANTS) qui est notamment chargé d’éditer passeports, cartes d’identité et permis de conduire, a été victime d’une cyberattaque le 15 avril dernier. 18 à 19 millions de personnes seraient concernées par cette fuite, selon une enquête franceinfo.
Quelles données sont concernées ?
L’attaque détectée le 15 avril par l’Agence nationale des titres sécurisés (ANTS) touche des données personnelles d’identification. Selon le ministère de l’Intérieur, il s’agit notamment des noms, prénoms, adresses e-mail ou dates de naissance. Dans certains cas, peuvent aussi être concernés l’identifiant de connexion, la civilité, l’adresse postale, le lieu de naissance ou le numéro de téléphone.
En revanche, les autorités assurent que les pièces jointes liées aux démarches (documents officiels, justificatifs) ne sont pas concernées, et que ces données ne permettent pas d’accéder directement aux comptes.
Pour Pierre Sutra, enseignant-chercheur à Télécom SudParis, au sein de l’Institut Polytechnique de Paris, ce type de fuite n’a rien d’exceptionnel : « À partir du moment où les systèmes informatiques sont en ligne, ils peuvent subir des attaques et piratage. C’est le risque encouru par tout service informatique en ligne ».
Ici, la fuite de données est liée à une vulnérabilité technique du portail de l’ANTS, selon franceinfo.
Concrètement, que risquent les usagers ?
Le principal danger tient à l’exploitation de ces données pour des fraudes ciblées. Plus un pirate dispose d’informations sur une personne, plus il peut construire des attaques crédibles : « Lorsqu’un pirate vole des données personnelles, il va pouvoir faire des attaques d’usurpation d’identité », explique Pierre Sutra.
Certaines de ces données circulent déjà en ligne, selon franceinfo. Concrètement, cela peut se traduire par des SMS ou e-mails frauduleux très personnalisés (pishing), imitant un proche, une administration ou une entreprise, afin d’inciter à cliquer sur un lien ou à transmettre de l’argent. « On a l’impression que c’est quelqu’un qu’on connaît », souligne l’expert.
Ces données peuvent aussi être revendues : « Il y a un commerce de ces informations qui peuvent être utilisées de manière très lucrative ». Et lorsqu’il s’agit de données touchant des milliers d’individus, comme ici, un pirate peut les revendre sur le darkweb ou bien les utiliser pour lancer une campagne d’opinion sur les réseaux sociaux par exemple, explique Pierre Sutra.
Que faut-il faire pour se protéger si l’on est concerné ?
La vigilance est la première ligne de défense : avoir le réflexe de vérifier systématiquement l’origine des messages reçus. Alors que les techniques d’usurpation d’identité deviennent de plus en plus sophistiquées, il faut toujours se demander : Quel est le lien de fiabilité ? Est-ce authentique ? Qu’est-ce qui m’assure que le message que je reçois provient bien de la personne qu’elle prétend être ?
Concrètement :
- contrôlez et vérifiez l’adresse e-mail ou le numéro de téléphone de l’expéditeur
- méfiez-vous des liens ou demandes urgentes
- ne transmettez jamais d’informations sensibles sans vérification
Si vos mots de passe sont concernés par un piratage – ce qui ne semble pas être le cas ici – il faut les modifier immédiatement.
