Message récapitulatif : Élaborer votre notification de violation pendant une violation est une recette pour un désastre.
En décembre 2018, Booking.com a subi une cyberattaque de type vishing . Pour rappel, le vishing est une technique de piratage qui consiste à se faire passer pour une entreprise légitime lors d'appels téléphoniques et de messages vocaux, afin d'obtenir des informations personnelles confidentielles telles que des coordonnées bancaires, des numéros de carte de crédit ou d'autres données non publiques . Cette technique est similaire au phishing et au smishing , mais utilise le système téléphonique et la messagerie vocale au lieu des e-mails ou des SMS. L'importance de cette affaire réside moins dans la cyberattaque elle-même que dans les amendes infligées par l'Autorité néerlandaise de protection des données (DPA). Poursuivez votre lecture pour découvrir les raisons de ces sanctions.
D'après le rapport, l'attaque a visé des hôtels des Émirats arabes unis (EAU) au moyen de techniques d'ingénierie sociale téléphonique. Les pirates ont contacté le personnel de 40 hôtels de la région et les ont persuadés de leur communiquer leurs identifiants de connexion à la plateforme Booking.com.
Grâce à ces identifiants volés, les « Vishers » ont récupéré les données de 4109 283 réservations clients, dont leurs noms, adresses et numéros de téléphone. Les criminels ont également récupéré les données de carte de crédit de 97 de ces réservations. Les pirates ont même dérobé 3 CVV (code à trois chiffres au dos de la carte), qui ne devraient jamais être enregistrés dans un système électronique !
Monique Verdier, vice-présidente de l'Autorité néerlandaise de protection des données (DPA), a souligné dans le rapport de l'Autorité la violation :
En se faisant passer pour des employés d'hôtel dans des courriels ou au téléphone, ils ont tenté de voler de l'argent. Une telle approche peut paraître très crédible si l'escroc connaît précisément la date et la chambre de votre réservation, puis vous demande de payer les nuits concernées. Des sommes importantes peuvent ainsi être volées.
Tout ce qui a été abordé jusqu'ici dans cet article explique comment se produisent la plupart des violations. Très peu d'entreprises victimes de violations reçoivent des amendes gouvernementales supplémentaires. Alors, qu'est-ce qui a pu provoquer cela ici ?
Les autorités néerlandaises de protection des données ont infligé une amende de près d'un demi-million d'euros à Booking.com , non pas en raison d'une violation de données, mais parce que l'entreprise n'a pas signalé cette violation assez rapidement :
L'Autorité néerlandaise de protection des données (APD) a infligé une amende de 475,000 4,000 € à Booking.com pour avoir tardé à lui signaler une violation de données. Lors de cette violation, des criminels ont obtenu les données personnelles de plus de 300 XNUMX clients. Ils ont également mis la main sur les informations de carte de crédit de près de XNUMX personnes.
Les entreprises de l'UE disposent de 72 heures pour signaler une violation à compter de la confirmation de sa survenance. Si Booking.com savait qu'une fuite avait eu lieu le 13 janvier, elle ignorait peut-être l'ampleur de la violation, qui aurait nécessité une notification gouvernementale. Cependant, en janvier, alors que Booking.com confirmait que la violation affectait plus de 500 enregistrements, elle devait informer l'APD dans les 72 heures. Elle ne l'a pas fait, ce qui explique sa lourde amende.
Concernant la notification des violations, il est primordial d'informer rapidement les utilisateurs concernés et les organismes compétents, comme l'Autorité néerlandaise de protection des données (APD). Depuis 2002, de nombreuses lois sur la confidentialité des données ont été promulguées dans le monde entier. Aux États-Unis, les lois sur la confidentialité des données sont disparates pour chaque État, mais aucune loi fédérale n'est en vigueur. Si vous exercez une activité internationale, lors de la préparation de votre procédure de notification des violations, vous devrez tenir compte des réglementations suivantes :
CyberHoot vous recommande de connaître les lois applicables à votre entreprise et de préparer un document de procédure de notification de violation reflétant ces lois. N'oubliez pas de tester ce processus chaque année.
Outre la mise en place d'un processus de notification des violations, votre entreprise peut prendre de nombreuses autres mesures pour réduire le risque de violation. CyberHoot recommande les mesures de base suivantes :
De nos jours, tout le monde est victime de violations de données. Tout le monde ne se voit pas infliger une amende pour ne pas avoir signalé les autorités compétentes assez rapidement. Cyberhoot vous recommande de visionner les deux vidéos ci-dessous pour apprendre à mettre en place un processus de notification de violation pour toute réglementation à laquelle vous devez vous conformer.
Sources:
Wikipédia – Lois sur la notification des violations
Lectures complémentaires:
Les réglementations comme la CCPA ne s'arrêtent pas à la Californie
Découvrez et partagez les dernières tendances, conseils et meilleures pratiques en matière de cybersécurité, ainsi que les nouvelles menaces à surveiller.
Auteure : Katie Boquetti | Éditorial : Craig Taylor Éditorial de Craig Taylor : Nous le savons depuis un certain temps…
Lire la suite
Auteure : Katie Boquetti | Éditorial : Craig Taylor Éditorial de Craig Taylor : Un CAPTCHA devrait vérifier si…
Lire la suite
Auteure : Katie Boquetti | Éditorial : Craig Taylor Éditorial de Craig Taylor : J’ai la chance d’avoir…
Lire la suiteAyez une vision plus précise des risques humains, grâce à une approche positive qui surpasse les tests de phishing traditionnels.
