Les erreurs de cybersécurité coûtent très cher aux institutions: des banques en Australie et aux États-Unis s'exposent à plus de 8,8 millions de dollars d'amendes pour authentification faible et lacunes dans la préparation au rançongiciel. Les régulateurs du monde entier sévissent également contre les courtiers en données et les agences gouvernementales qui gèrent mal les licences ou échouent à sécuriser les données personnelles sensibles.

7
9
13
3
Plus
14
5
6

Vues: 10.2k Temps de lecture:4 min.

Une grande banque australienne visée par une amende proposée de 8 M$ pour défaillances en cybersécurité

Bendigo Bank risque une amende proposée de 8 M$ pour des échecs en cybersécurité

Bendigo and Adelaide Bank fait face à une amende proposée de 8 millions de dollars après avoir admis des défaillances en matière de cybersécurité qui ont entraîné près de 500 000 dollars de transactions non autorisées.

En mars 2023, un pirate informatique a exploité des failles dans le système bancaire en ligne de la banque dissoute Service One Alliance Bank. L’attaquant a accédé à environ 257 comptes clients et effectué 286 transactions non autorisées d’une valeur d’environ 490 000 dollars, touchant 87 clients.

L’Autorité australienne de régulation prudentielle (APRA), le régulateur de la sécurité financière du pays, a déclaré que la banque présentait d’importantes faiblesses dans ses contrôles d’authentification des clients, notamment des paramètres de mot de passe faibles, des clients partageant des mots de passe identiques et des fonctionnalités système permettant aux attaquants d’identifier des identifiants clients valides.

Certaines de ces failles avaient été détectées lors de tests d’intrusion en 2020, mais n’avaient pas été traitées avant l’attaque. L’intrus a réalisé cette activité entre le 3 et le 7 mars 2023. La Bendigo Bank n’a pas pu récupérer environ 140 000 $, mais a remboursé tous les clients concernés.

L’APRA a depuis engagé des procédures de sanctions civiles contre la banque devant la Cour fédérale. Bendigo Bank a reconnu avoir manqué à ses obligations au titre du Banking Executive Accountability Regime (BEAR), notamment en matière de sécurité des clients, de tests, de gouvernance et de gestion des risques. La sanction proposée sera désormais examinée par la Cour fédérale.

L'Agence californienne de la vie privée inflige une amende de 116 490 dollars à un intermédiaire de données

L'autorité californienne de protection des données a infligé une amende de 116 490 $ au courtier en données basé dans l'Iowa, LocateSmarter, pour avoir rendu difficile pour les consommateurs l'opposition à la vente de leurs données personnelles.

Cette sanction est la première action d’application de l’agence concernant des violations de la California Consumer Privacy Act et de la Delete Act de l’État. Selon la California Privacy Protection Agency, LocateSmarter n’a pas effectué son enregistrement en tant que courtier de données et a exigé des consommateurs qu’ils fournissent les quatre derniers chiffres de leur numéro de sécurité sociale pour soumettre leurs demandes de désinscription.

Selon le régulateur, l’entreprise a collecté des données personnelles sensibles, notamment des noms, des données de permis de conduire, des dates de naissance, des dossiers d’emploi, ainsi que des informations sur les faillites et les litiges. Exiger des consommateurs qu’ils fournissent des données personnelles superflues pour exercer leurs droits à la vie privée a enfreint les exigences de l’État en matière de minimisation des données.

En vertu de l'accord de règlement, LocateSmarter doit s'enregistrer en tant que courtier en données et revoir ses pratiques afin de faciliter l'exercice des droits à la vie privée des consommateurs.

Par ailleurs, le régulateur a infligé une amende de 52 400 dollars à un autre courtier en données, Cybba, Inc., pour ne pas s’être inscrit au registre des courtiers en données de l’État avant la date limite de 2025. Cybba vend des données à caractère personnel, notamment des données de localisation et d’activité Internet, à des fins de publicité ciblée. L’autorité de contrôle exige également que Cybba fournisse des informations sur les droits à la vie privée sur son site web, utilise le système DROP et traite les futures demandes de suppression. Le système DROP permet aux consommateurs de demander à tous les courtiers en données enregistrés de supprimer leurs informations personnelles en une seule demande.

Un prêteur hypothécaire américain condamné à payer 825 000 dollars pour des carences de sécurité des données

Le Département californien de la protection financière et de l’innovation (DFPI) a ordonné à Academy Mortgage Corporation, basée dans l’Utah, de payer 825 000 dollars après avoir constaté que celle-ci n’avait pas correctement protégé les données personnelles de plus de 284 443 personnes.

Le DFPI a constaté que l'entreprise souffrait de problèmes de cybersécurité et de conservation des dossiers de longue date, la rendant vulnérable à une attaque par ransomware en mars 2023. La violation n'a été découverte qu'après le vol des identifiants des employés et la désactivation des systèmes de sécurité réseau.

Le régulateur a également constaté qu'Academy Mortgage n'avait pas obtenu de rapport d'expertise écrit sur la violation, limitant les informations sur les circonstances. Les clients concernés ont été informés de la violation de données en décembre 2023.

L'ordonnance de consentement entre le DFPI et Academy Mortgage Corporation impose également à l'entreprise d'informer tous les clients californiens touchés qu'ils peuvent bénéficier de 12 mois d'assurance contre l'usurpation d'identité. Les clients devront opter pour cette couverture, et l'entreprise fournira les instructions nécessaires ainsi qu'un contact pour les questions. Academy Mortgage doit également se conformer aux lois californiennes et maintenir des systèmes et procédures de cybersécurité appropriés.

ORC et Purpleline condamnés à une amende de 360 000 GH¢ pour violations de la cybersécurité

L’Autorité ghanéenne de la cybersécurité (CSA) a infligé une amende totale de 360 000 GH¢ (28 235 €) au Bureau du registraire des sociétés (ORC) et à Purpleline Solutions Limited pour violation de la réglementation nationale sur la cybersécurité.

L’ORC s’est vu infliger une amende de 240 000 GH¢ (18 823 €) pour non-respect d’une directive imposant le recours exclusif à des prestataires de services de cybersécurité agréés pour les services touchant à son infrastructure d’information critique.

La CSA a indiqué que l'ORC avait fait appel à Purpleline Solutions alors que cette société ne disposait pas de la licence de cybersécurité requise. L'ORC s'est vu infliger une amende de 10 000 unités de pénalité pour chacune des deux infractions et dispose d'un mois pour se conformer aux directives en suspens.

Purpleline Solutions a été separately pénalisée d'une amende de 120 000 GH¢ (9 412 €) pour avoir fourni des services de cybersécurité réglementés sans licence. L'entreprise a déposé une demande de licence le 15 juillet 2026, mais la CSA a indiqué que cette demande avait été introduite après qu'elle avait déjà été engagée par l'ORC.

Obtenir une démonstration

ImmuniWeb peut vous aider à prévenir les violations de données et à respecter les exigences réglementaires.

L'ICO britannique réprimande l'ACRO pour une faille de sécurité ayant exposé des données à caractère personnel

L'Information Commissioner's Office (ICO) britannique a adressé une réprimande à l'ACRO Criminal Records Office après que des failles de cybersécurité ont potentiellement exposé les données personnelles de jusqu'à 10 920 personnes.

L’ACRO est une unité nationale de police chargée de services tels que les certificats de police, les certificats internationaux de protection de l'enfance, les demandes d'accès aux données et les demandes de suppression de données.

L’ICO a constaté qu’un pirate informatique a accédé sans autorisation au site web et au système de gestion de contenu de l’ACRO entre août 2022 et mars 2023. Il n’est pas clair si les informations ont été volées, car l’ACRO ne disposait pas de journaux suffisants pour confirmer l’exfiltration effective des données de ses systèmes.

La violation a potentiellement exposé des noms, des dates de naissance, des adresses, des National Insurance numbers, des détails de passeports et de permis de conduire, des informations bancaires et des données biométriques. Certains dossiers contenaient également des informations sensibles relatives à des infractions pénales et autres informations relevant de catégories spéciales. Les personnes concernées comprenaient des demandeurs de certificats de police, de certificats internationaux de protection de l'enfance et de demandes d'accès aux données, ainsi que des tiers liés à ces demandes.

Lors d’un incident, une attaque par injection SQL a exposé 15 identifiants et mots de passe, appartenant pour la plupart à des employés d’ACRO. L’ICO a déclaré que l’incident le plus grave s’est produit entre le 5 août 2022 et le 14 mars 2023. Au cours de cette période, l’attaquant a conservé l’accès au site web et à l’environnement CMS d’ACRO.

L’ICO a constaté qu’ACRO faisait appel à des sociétés tierces pour fournir certains services de sécurité, notamment les mises à jour logicielles. Cependant, l’organisme n’avait pas clairement attribué la responsabilité de rechercher et de vérifier les mises à jour de sécurité importantes pour son CMS. Il ne disposait pas non plus d’un processus efficace pour appliquer les mises à jour et n’a pas correctement investigué les alertes de sécurité signalant une éventuelle violation.

L’ICO a décidé de prononcer une réprimande, mais a pris en compte plusieurs facteurs qui ont atténué la gravité de la situation. Le réseau de l’ACRO était segmenté en différentes zones, ce qui a empêché le pirate d’accéder à ses systèmes principaux via le site web compromis. L’ICO a également reconnu les mesures prises par l’ACRO après l’incident, notamment l’arrêt des systèmes affectés, la migration des services vers une infrastructure distincte, le renforcement de la surveillance de la sécurité, l’amélioration de sa capacité à détecter les menaces cybernétiques et le renforcement de la segmentation entre ses réseaux.