Les Pires Fuites de Données Mal Gérées de 2024
L'année 2024 a été marquée par une série de fuites de données massives et mal gérées par des grandes entreprises. Des millions d'utilisateurs ont vu leurs informations personnelles exposées suite à des négligences dans la sécurité. Retour sur les pires incidents et les leçons à en tirer.
23andMe rejette la faute sur les utilisateurs
Le géant des tests génétiques 23andMe a perdu les données génétiques et ancestrales de près de 7 millions de clients suite à une brèche exposant des centaines de milliers de comptes. Plutôt que d'assumer ses responsabilités, l'entreprise a eu le culot de rejeter la faute sur ses propres utilisateurs, les accusant de ne pas avoir suffisamment sécurisé leurs comptes.
Le rejet de responsabilité de 23andMe est absurde. C'est à l'entreprise de mettre en place les mesures de sécurité adéquates pour protéger des données aussi sensibles.
– Tom Johnson, avocat représentant des utilisateurs lésés
Face à la polémique, 23andMe a finalement mis en place l'authentification multi-facteurs, une mesure de base qui aurait pu prévenir le piratage. Mais le mal était fait. Les autorités britanniques et canadiennes ont ouvert une enquête et l'entreprise fait face à un recours collectif.
Change Healthcare : des mois pour admettre le vol des données de santé des Américains
En février, une cyberattaque a forcé Change Healthcare, un fournisseur clé du système de santé américain, à mettre hors-ligne tout son réseau. Les répercussions ont été immédiates : pénuries de médicaments, reports d'opérations, factures impayées mettant des prestataires au bord de la faillite... Change Healthcare a attendu 7 mois avant de confirmer que les hackers avaient volé des données médicales privées concernant plus de 100 millions de personnes, soit près d'un tiers de la population américaine. Un record absolu.
Snowflake : quand le manque de double authentification favorise les rançongiciels
Plusieurs grands clients du fournisseur de cloud Snowflake comme AT&T ou Ticketmaster ont vu leurs données dérobées par des hackers exploitant l'absence d'authentification multi-facteurs obligatoire. Les cybercriminels ont ainsi pu accéder à des pans entiers de données et les prendre en otage contre des rançons. Snowflake a dû se résoudre à imposer la double authentification, une mesure élémentaire qu'elle aurait dû mettre en place depuis longtemps.
MoneyGram évasif sur l'ampleur de sa fuite de données
En septembre, le spécialiste du transfert d'argent MoneyGram a été piraté, exposant pendant plusieurs jours les données personnelles de ses 50 millions de clients. Malgré l'obligation légale, MoneyGram n'a notifié aucun de ses clients et refuse toujours de communiquer sur le nombre exact de personnes affectées.
Le silence assourdissant de Hot Topic après la fuite de 57 millions de clients
En octobre, 57 millions de données clients de la chaîne de magasins Hot Topic se sont retrouvées en libre accès sur le web, dans ce qui est considéré comme l'une des plus grandes fuites de données de l'histoire de la vente au détail. Deux mois plus tard, Hot Topic n'a toujours pas publiquement reconnu l'incident ni alerté les personnes concernées comme l'exige la loi.
Des conséquences graves pour les utilisateurs
Au-delà des entreprises fautives, ce sont bien les utilisateurs qui payent le plus lourd tribut de ces fuites à répétition. Outre l'exposition de données intimes comme leur santé ou leur ADN, ils font face à des risques accrus de :
- Piratage de leurs comptes en ligne
- Usurpation d'identité
- Chantage et extorsion
- Ciblage par des campagnes de phishing
- Hausse des primes d'assurance et des prix
Sans parler du stress et de l'atteinte à la vie privée que représentent ces violations de données. Il est temps que les entreprises prennent enfin la mesure de leurs responsabilités.
Quelles leçons en tirer pour l'avenir ?
Ces différentes fuites mettent en lumière plusieurs points :
- Renforcer les contrôles réguliers de sécurité pour détecter les failles en amont
- Généraliser les mesures de base comme l'authentification multi-facteurs
- Chiffrer systématiquement les données stockées, surtout les plus sensibles
- Appliquer le principe de minimisation des données : ne collecter que le strict nécessaire
Mais le nerf de la guerre reste le facteur humain. Il est crucial de former et de responsabiliser les employés aux bonnes pratiques de sécurité, de la direction aux équipes techniques. Car une simple négligence peut avoir des conséquences désastreuses, comme l'ont tristement illustré les fuites massives de 2024.
La confiance est difficile à gagner et facile à perdre. Chaque fuite de données érode un peu plus la confiance des utilisateurs. Il est urgent d'inverser la tendance.
- Sarah Morin, experte en cybersécurité
Espérons que ces incidents serviront de piqûre de rappel aux entreprises pour mettre la protection de nos données au cœur de leurs priorités. Car notre vie privée numérique en dépend.
