Wind Tre amendé de 1,7 million d'euros suite à une violation de données exposant les informations clients

Les régulateurs sévissent durement contre les négligences numériques, infligeant des amendes de plusieurs millions à Wind Tre, TeamViewer et CDSL pour ne pas avoir sécurisé les données clients et les alertes investisseurs. Parallèlement, AliExpress fait face à une amende record de 550 M€ pour avoir commercialisé des produits dangereux, tandis que les opérateurs télécoms et les compagnies aériennes sont sanctionnés pour des fraudes douteux en numérotation et des «dark patterns».

Wind Tre amendée de 1,7 million d'euros après une fuite de données exposant les informations clients

L’Autorité italienne de protection des données a infligé une amende de 1 715 600 € à l’une des plus grandes entreprises de télécommunications du pays, Wind Tre S.p.A., après avoir constaté de graves manquements de sécurité ayant conduit à deux cyberattaques touchant plus de 365 000 clients.

L’enquête a commencé après que l’entreprise a signalé deux violations de données en février 2025. Les autorités ont découvert que des pirates informatiques se sont fait passer pour des techniciens du support et ont convaincu des employés de deux magasins de leur accorder l’accès aux systèmes de l’entreprise. Cela a permis aux attaquants de voler les informations personnelles et les coordonnées des clients. Dans certains cas, les données volées comprenaient également des informations relatives aux paiements, telles que des bordereaux de paiement postal, des IBAN et des cartes de crédit dont les numéros et les dates d’expiration étaient partiellement masqués.

L’autorité a déclaré que Wind Tre suivait de mauvaises pratiques dans la gestion des identifiants de connexion et des certificats numériques. Elle a également constaté que les audits de sécurité de l’entreprise avaient échoué à détecter des vulnérabilités que des contrôles plus approfondis auraient pu révéler.

L'autorité a statué que Wind Tre avait violé les règles du RGPD relatives à la sécurité et à la confidentialité des données. Elle a ordonné à l'entreprise d'améliorer la protection des identifiants et des certificats numériques, de mettre en place des outils sécurisés de gestion des mots de passe et de renforcer ses procédures de cybersecurity afin de prévenir les futures attaques.

TeamViewer condamné à une amende de 240 000 € pour ne pas avoir signalé une cyberattaque en temps utile

L'autorité allemande de régulation financière BaFin a infligé une amende de 240 000 € à l'éditeur de logiciels TeamViewer pour ne pas avoir informé rapidement les investisseurs d'une cyberattaque survenue en 2024. L'autorité de régulation a déclaré que l'entreprise avait enfreint le règlement de l'UE sur les abus de marché (MAR) en ne publiant pas de communiqué ad hoc dès qu'elle a eu connaissance de l'incident.

TeamViewer a estimé que l’attaque avait été menée par le groupe de pirates russes identifié comme APT29/Midnight Blizzard. L’entreprise a déclaré que les pirates n’avaient accédé qu’à son système informatique interne, dérobant les noms des employés, leurs coordonnées et leurs mots de passe confidentiels. Elle a ajouté que les données clients, les systèmes de produits et les plateformes de communication n’avaient pas été affectés.

Au lieu d’informer immédiatement les investisseurs, TeamViewer a d’abord affiché sur son site web un avis destiné à ses clients. Suite aux nouvelles de l’attaque, le cours de l’action de la société a chuté d’environ 10 %.

En vertu de la réglementation européenne, les entreprises cotées sur les marchés financiers allemands doivent publier sans délai toute information susceptible d’influencer le cours de leurs actions. La BaFin a déclaré que TeamViewer n’avait pas respecté cette obligation, d’où l’amende.

SEBI inflige une amende de 10 M de roupies à CDSL pour l'attaque par malware de 2022

Le régulateur des marchés indien, la SEBI, a infligé une amende de 10 millions de roupies (environ 90 800 €) à Central Depository Services (India) Ltd (CDSL) pour des manquements en matière de cybersécurité et de conformité liés à une attaque par logiciel malveillant survenue en 2022. SEBI a indiqué que CDSL n'avait pas identifié ni protégé un serveur exposé à Internet en tant qu'actif critique, permettant aux pirates de gagner accès aux systèmes. Ce dépositaire gère environ 83 millions de comptes d'investisseurs, soit près de 70 % du total national.

L’autorité de régulation a également constaté que CDSL n’avait pas détecté les cyberintrusions en temps réel, n’avait pas correctement analysé les alertes de sécurité et n’avait pas respecté les règles relatives à la reprise des opérations de règlement via des sites de repli. L’attaque par malware a perturbé des services clés du dépositaire, notamment les règlements de transactions, les opérations sur titres, les nantissements de marge et les transferts entre dépositaires, retardant ainsi les règlements prévus pour le 18 novembre 2022.

La SEBI a déclaré que l'incident était le résultat de failles répétées en matière de cybersécurité, notamment un suivi insuffisant, des contrôles de mots de passe faibles et le non-respect des mesures de sécurité requises.

Par ailleurs, l’Autorité centrale de protection des consommateurs (CCPA) de l’Inde a infligé une amende de ₹1 lakh (environ 908 €) à la compagnie aérienne low-cost SpiceJet pour avoir utilisé des patterns sombres sur son site de réservation. Selon la CCPA, la page de réservation de la société inscrivait automatiquement les clients au programme de fidélité de SpiceJet et présélectionnait le consentement à recevoir des SMS, des messages WhatsApp et des e-mails promotionnels.

La CCPA a jugé que ces pratiques constituaient une pratique commerciale déloyale, un contrat abusif et une publicité trompeuse au titre de la Consumer Protection Act de 2019. Elle a également constaté que SpiceJet avait violé la règle 4(9) des Consumer Protection (E-Commerce) Rules de 2020, qui exige un consentement clair du consommateur et interdit spécifiquement les cases à cocher pré-cochées.

L’autorité de régulation a également constaté que l’interface de réservation utilisait des Dark Patterns interdits en vertu des Guidelines for Prevention and Regulation of Dark Patterns, 2023, et a ordonné à la compagnie aérienne de soumettre un rapport de conformité dans un délai de 15 jours.

L’ICASA inflige une amende de 6 millions de rands à Session Telecoms pour violation des règles de numérotation

Le régulateur des communications d’Afrique du Sud, l’ICASA, a amendé l’opérateur de télécommunications B2B Session Telecoms à hauteur de 6 millions de rands (320 000 €) après avoir constaté que l’entreprise avait fait un usage abusif des ressources de numérotation des télécommunications, en violation des Règlements sur le plan de numérotation.

Cette affaire a suivi une plainte déposée par MTN, filiale sud-africaine de MTN Group, fournisseur de télécommunications basé à Johannesburg, en avril 2023. MTN a allégué que Session était impliqué dans des pratiques liées au contournement de l'interconnexion, notamment la manipulation de l'identification de la ligne appelante (CLI), le réacheminement d'appels et le SIM-boxing. La plainte a fait l'objet d'une enquête et d'un examen par le Comité des plaintes et de la conformité (CCC) de l'ICASA, en vertu de l'article 17B de la Loi ICASA.

La CCC a constaté que Session avait enfreint Regulation 6(3)(f) des Numbering Plan Regulations en utilisant des numéros invalides et non attribués. Elle a également constaté que l’entreprise avait enfreint Regulation 6(3)(g) des Numbering Plan Regulations en ne veillant pas à ce que les ressources de numérotation soient utilisées de manière efficace et efficiente, ce qui a eu pour conséquence que les communications ne soient pas acheminées via le réseau de MTN comme requis.

L’ICASA a infligé une amende de 3 millions de rands (160 000 €) pour violation du règlement 6(3)(f) et une amende supplémentaire de 3 millions de rands pour violation du règlement 6(3)(g). Outre ces amendes, l’autorité de régulation a ordonné à Session de mettre fin à toute nouvelle infraction au règlement relatif au plan de numérotation ; elle a bloqué et, le cas échéant, retiré les ressources de numérotation concernées ; et elle a placé l’entreprise sous une étroite surveillance de conformité.

Session doit également soumettre des rapports de conformité mensuels pendant 24 mois, incluant les détails des fichiers d'appel et du trafic d'appels internationaux acheminés sur son réseau.

AliExpress frappé par une amende de 500 millions d'euros de l'UE pour violation du DSA

L'UE a infligé une amende record de 550 millions d'euros à la plateforme chinoise de commerce en ligne AliExpress pour ne pas avoir empêché la vente de produits illégaux sur son site web. Cette amende, prononcée en vertu du Digital Services Act, est la plus importante jamais infligée au titre de cette loi, qui vise à protéger les consommateurs contre les produits non sûrs et les pratiques en ligne trompeuses.

La Commission européenne a constaté qu’AliExpress ne disposait pas d’effectifs suffisants pour vérifier correctement si les produits respectaient les normes de sécurité de l’UE, les modérateurs ne consacrant parfois que quelques secondes à l’examen des articles. En conséquence, des cosmétiques dangereux, des jouets non conformes, des contrefaçons et d’autres produits illégaux sont restés sur la plateforme pendant des semaines et ont souvent été recommandés aux clients par le biais de ses systèmes publicitaires et de recommandation.

Les responsables ont également indiqué qu’AliExpress n’avait pas appliqué de sanctions à l’encontre des vendeurs enfreignant les règles, permettant ainsi à bon nombre d’entre eux de poursuivre leurs activités. Les contrôles mis en place par l’entreprise pour détecter les produits contrefaits ou mal étiquetés se sont révélés inefficaces, ce qui a permis aux vendeurs d’échapper facilement à la détection. La Commission a conclu qu’AliExpress n’avait pas pris de mesures suffisantes pour limiter la diffusion de marchandises illégales ni pour évaluer avec précision l’efficacité de ses systèmes de modération.

Prochaines étapes:

• Demandez une démonstration gratuite du produit ou un devis
• Inscrivez-vous à nos webinaires et formations produits.
• Lisez notre blog hebdomadaire Cybercrime Investigations.
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp
• Abonnez-vous à notre Newsletter
• Rejoignez notre programme de partenariat