Experian Afrique du Sud, 2020 : la fuite qui n'a exigé aucun logiciel malveillant

En août 2020, les Sud-Africains ont appris que l'un des principaux bureaux de crédit du pays avait remis les données de millions de consommateurs — non pas à des pirates ayant forcé ses systèmes, mais à un fraudeur qui les avait simplement demandées de manière convaincante. L'incident Experian Afrique du Sud reste l'une des illustrations les plus nettes au monde d'une ingénierie sociale pure opérant à l'échelle nationale.

Ce qui s'est passé

Experian Afrique du Sud a révélé avoir subi ce qu'elle a qualifié d'« incident isolé » : une demande de données frauduleuse émanant d'un individu prétendant représenter un client légitime. Le South African Banking Risk Information Centre (SABRIC), qui a annoncé l'incident conjointement avec Experian et le secteur bancaire, a indiqué que les informations personnelles de jusqu'à 24 millions de Sud-Africains et de près de 800 000 entités commerciales avaient été remises au fraudeur présumé.

Experian a déclaré que les informations concernées étaient en grande partie des données fournies dans le cours normal des affaires ou accessibles via des sources publiques, et qu'aucune information de crédit ou financière des consommateurs n'avait été compromise. L'entreprise a affirmé avoir identifié le suspect, obtenu une ordonnance judiciaire de type Anton Piller et sécurisé le matériel sur lequel les données étaient détenues, les données détournées ayant, selon elle, été supprimées. Des articles de presse ultérieurs ont indiqué qu'une partie des données avait ensuite été retrouvée en circulation en ligne, ce qu'Experian a examiné ; l'entreprise a maintenu sa position sur la nature des données concernées.

Comment l'attaque a fonctionné

Il ne s'agissait pas d'une intrusion technique. Selon le propre récit d'Experian, l'auteur s'est fait passer pour le représentant d'un client légitime — présenté dans les médias sud-africains comme un client professionnel existant du bureau — et a sollicité des services par ce qui semblait être des canaux commerciaux normaux. Les données ont été communiquées via les processus standards d'Experian à quelqu'un qui n'était pas celui qu'il prétendait être.

Cela fait de cet incident un cas d'école de défaillance du risque humain : c'est la vérification d'identité d'une contrepartie, et non la configuration d'un pare-feu, qui a cédé. L'usurpation de clients, de fournisseurs et de dirigeants légitimes est le mécanisme même qui alimente la fraude au président et la compromission d'e-mails professionnels — appliqué ici à une demande de données plutôt qu'à un ordre de paiement, avec une portée bien plus vaste.

L'impact

L'ampleur — des données concernant une large part de la population adulte d'Afrique du Sud — a déclenché une attention nationale, l'implication du SABRIC et des banques, ainsi que l'examen de l'Information Regulator, auquel l'incident a été signalé. Les banques ont appelé leurs clients à la vigilance face aux tentatives de phishing et de fraude susceptibles d'exploiter les données d'identité exposées. Pour Experian, le coût réputationnel d'avoir à expliquer que les données avaient été remises plutôt que volées a été considérable, et l'incident est devenu un cas de référence dans les débats sur l'application de la POPIA, qui entrait alors pleinement en vigueur.

Enseignements pour les organisations africaines

• Vérifiez la contrepartie, pas seulement la demande. Tout processus qui libère des données ou de l'argent sur la foi d'une identité déclarée exige une vérification indépendante, par un canal distinct — surtout pour de nouveaux contacts se réclamant de clients connus.
• L'ingénierie sociale passe mieux à l'échelle que les logiciels malveillants. Une seule usurpation réussie a extrait les données de millions de personnes. Les programmes de sensibilisation doivent couvrir les faux prétextes et l'usurpation, pas seulement les liens suspects.
• Les équipes commerciales et de front-office sont des contrôles de sécurité. Les personnes qui intègrent les clients et traitent les demandes de données se trouvent sur le périmètre de la brèche au même titre que les administrateurs informatiques.
• Répétez la communication de crise. La coordination avec le SABRIC, les banques et le régulateur a façonné la réception de l'incident. Sachez qui appeler, et dans quel ordre, avant d'en avoir besoin.
• Des « données de sources publiques » causent quand même des dommages. Des données d'identité agrégées alimentent le phishing et la fraude en aval, même sans mots de passe ni numéros de carte.

Sources

• Communiqués publics d'Experian Afrique du Sud sur l'incident, août 2020
• Annonce du SABRIC avec le secteur bancaire sud-africain, 2020
• Signalement à l'Information Regulator (Afrique du Sud) et échanges avec celui-ci, 2020
• Couverture de Reuters, d'ITWeb et des médias sud-africains, 2020

Si une seule usurpation convaincante pouvait déverrouiller vos données, mieux vaut mesurer comment vos équipes réagiraient — l'évaluation gratuite de maturité du risque humain vous le montre en quatre minutes.