Absa, 2020 : la fuite de données venue de l'intérieur de la banque

En novembre 2020, Absa — l'une des plus grandes banques d'Afrique du Sud — a notifié à ses clients une fuite de données à l'origine inconfortable. Pas de rançongiciel, pas d'intrusion externe, pas d'e-mail de phishing. L'enquête interne de la banque désignait l'un de ses propres employés.

Ce qui s'est passé

Absa a révélé qu'un employé avait illégalement mis les informations personnelles d'une partie de ses clients à la disposition d'un petit nombre de tiers externes. L'individu était présenté comme un analyste crédit — une personne dont les fonctions légitimes incluaient l'accès aux dossiers clients. Les données concernées comprenaient, selon les informations publiées, des numéros d'identité, des coordonnées, des adresses physiques et des numéros de compte. Absa a d'abord décrit le groupe touché comme une petite portion de sa clientèle de détail sud-africaine ; des informations ultérieures, en 2021, ont indiqué que l'enquête avait identifié davantage de clients concernés qu'annoncé initialement, et la banque a mis à jour ses notifications en conséquence.

La réponse de la banque a été d'une fermeté inhabituelle. Absa a indiqué avoir obtenu des ordonnances de la Haute Cour permettant des opérations de perquisition et de saisie dans des locaux liés aux destinataires des données, sécurisé et supprimé les données sur les appareils récupérés, engagé des poursuites pénales contre l'employé concerné et procédé à son licenciement. Elle a notifié l'Information Regulator, averti les clients touchés et surveillé les comptes pour détecter tout signe de fraude, en précisant que les clients seraient protégés contre les pertes découlant de l'incident.

Comment l'attaque a fonctionné

Il s'agissait d'un détournement d'accès autorisé par un initié. L'employé n'a eu à contourner aucun contrôle technique : les dossiers lui étaient accessibles parce que son poste l'exigeait. Ce qui a cédé, c'est la couche de contrôles censée encadrer les utilisateurs autorisés — la surveillance des schémas d'accès inhabituels, les limites sur les extractions massives, et l'effet dissuasif de savoir que les accès sont observés.

Les incidents internes de ce type se situent à l'extrémité opposée du phishing sur le spectre du risque humain, mais ils relèvent de la même discipline. Le risque d'une organisation n'est pas seulement que ses employés soient trompés ; c'est aussi, plus rarement, qu'ils soient malhonnêtes — ou recrutés, contraints ou soudoyés par des tiers qui savent qu'acheter un initié coûte moins cher que percer le périmètre d'une banque.

L'impact

Pour les clients touchés, l'exposition de données d'identité et de compte a signifié une élévation durable du risque de fraude et d'ingénierie sociale — ce type de données alimente des campagnes de vishing et de phishing convaincantes longtemps après la clôture de l'incident. Pour Absa, les coûts ont inclus l'enquête et les procédures judiciaires, les démarches réglementaires au titre de la POPIA (entrée en vigueur quelques mois plus tôt), la notification et la surveillance des clients, et le poids réputationnel d'avoir à expliquer que la brèche était interne. L'affaire est devenue l'un des précédents de menace interne les plus cités d'Afrique du Sud, démontrant à la fois les dégâts qu'une seule personne de confiance peut causer et la valeur d'une réponse rapide et juridiquement musclée.

Enseignements pour les organisations africaines

• Surveillez les accès autorisés, pas seulement les intrusions. L'analyse de qui accède à quoi, en quels volumes et selon quels schémas, est le principal contrôle de détection contre les abus internes — et sa présence connue est dissuasive.
• Appliquez le moindre privilège et des freins aux accès massifs. Un poste exige rarement un accès illimité dossier par dossier. Plafonds, validations pour les exports massifs et marquage des données réduisent ce qu'une seule personne peut divulguer.
• Préparez le volet juridique. Les ordonnances et saisies obtenues par Absa ont limité la diffusion des données. Savoir à l'avance comment obtenir des mesures d'urgence fait partie de la préparation aux incidents.
• Actualisez la communication à mesure que les faits évoluent. La population touchée s'est élargie au fil de l'enquête. S'engager à une communication transparente et corrigée préserve mieux la confiance qu'une déclaration unique et prématurée.
• Cultivez l'éthique et le signalement. Les collègues sont souvent les mieux placés pour repérer tôt un manquement. Des canaux d'alerte sûrs et fiables raccourcissent les incidents internes.

Sources

• Communiqués publics et notifications aux clients d'Absa, novembre 2020
• Articles de suivi sur l'élargissement du périmètre de la fuite, 2021
• Couverture d'ITWeb, de MyBroadband et de Moneyweb, 2020–2021
• Articles sur les échanges avec l'Information Regulator (Afrique du Sud), 2020–2021

La confiance est un contrôle qui exige vérification — l'évaluation gratuite de maturité du risque humain montre en quatre minutes comment votre organisation gère à la fois les trompés et les malhonnêtes.