Cyberattaque chez SUEZ Eau France : des données personnelles et des RIB potentiellement exposés
Une cyberattaque visant un prestataire technique de SUEZ Eau France pourrait avoir entraîné l’exposition de données personnelles de certains clients. Noms, coordonnées, documents administratifs, pièces d’identité, photographies, mais aussi RIB et IBAN figurent parmi les informations susceptibles d’avoir été compromises. Une partie des données aurait même été rendue accessible sur Internet.
Pour ID Protect, spécialisé dans la protection contre l’usurpation d’identité et les conséquences des fuites de données personnelles, cet incident mérite une attention particulière : le croisement de données d’identité, de coordonnées et d’informations bancaires peut faciliter des tentatives de fraude particulièrement crédibles.
À ce stade, SUEZ ne peut toutefois pas confirmer que les données de chaque personne destinataire de sa notification ont effectivement été dérobées.
Une cyberattaque qui touche indirectement SUEZ Eau France
Contrairement à ce que pourrait laisser penser une première lecture de l’affaire, les éléments communiqués par SUEZ ne font pas état d’une intrusion directe dans les systèmes informatiques de l’entreprise.
C’est l’un de ses prestataires techniques qui aurait été victime de la cyberattaque.
Selon la notification adressée aux personnes potentiellement concernées, des personnes malveillantes ont pu accéder à certaines données, les extraire, puis rendre une partie des informations récupérées accessible sur Internet.
SUEZ indique travailler avec le prestataire concerné ainsi qu’avec des experts en cybersécurité afin de déterminer précisément le périmètre de l’incident.
L’entreprise reconnaît néanmoins que certaines données échangées avec ses clients pendant la période concernée ont pu être exposées.
Quelles données personnelles pourraient avoir été exposées ?
Les premières informations communiquées par SUEZ font apparaître plusieurs catégories de données potentiellement concernées.
Il peut notamment s’agir de :
- noms et prénoms ;
- coordonnées ;
- numéros de téléphone ;
- adresses e-mail ;
- documents administratifs liés aux contrats ;
- pièces d’identité, selon les situations ;
- photographies ;
- RIB et IBAN ;
- informations relatives à la situation personnelle dans certains documents.
Toutes ces informations ne concernent évidemment pas nécessairement chaque personne potentiellement touchée.
Le périmètre dépend notamment des documents échangés avec SUEZ et de la nature des données auxquelles les attaquants ont effectivement pu accéder.
Des pièces d’identité potentiellement concernées
La présence éventuelle de pièces d’identité parmi les documents exposés constitue un élément particulièrement préoccupant.
Une pièce d’identité contient en effet plusieurs informations permettant de caractériser précisément une personne. Lorsqu’elles sont associées à d’autres données comme une adresse, un numéro de téléphone ou une adresse e-mail, ces informations peuvent être utilisées pour construire des scénarios d’arnaque beaucoup plus crédibles.
La mise à disposition sur Internet d’une partie des données exfiltrées renforce également le risque qu’elles soient récupérées, copiées et réutilisées ultérieurement.
Des RIB et IBAN potentiellement exposés
Autre élément important de cette fuite : des coordonnées bancaires de type RIB ou IBAN pourraient également être concernées.
SUEZ ne précise cependant pas combien de personnes seraient susceptibles d’avoir vu leurs coordonnées bancaires exposées.
Il est donc impossible, à ce stade, d’affirmer que tous les clients concernés par l’incident ont vu leur RIB ou leur IBAN compromis.
Il faut également rappeler qu’un IBAN ne permet pas, à lui seul, de prendre le contrôle d’un compte bancaire. En revanche, lorsqu’il est associé à d’autres informations personnelles, il peut contribuer à rendre une tentative de fraude beaucoup plus convaincante.
Un escroc disposant du nom du client, de son adresse, de son numéro de contrat et de son IBAN peut par exemple disposer de suffisamment d’éléments pour se faire passer pour un interlocuteur légitime.
Pourquoi cette fuite peut favoriser le phishing ?
Le principal risque à court terme concerne probablement les tentatives de phishing et d’ingénierie sociale.
Les cybercriminels peuvent exploiter les informations disponibles pour construire des messages personnalisés en se faisant passer pour SUEZ, un prestataire, un service de facturation ou un autre organisme.
Un e-mail générique indiquant simplement « votre facture d’eau est disponible » peut facilement être ignoré.
La situation est différente lorsqu’un message contient des informations réelles concernant la victime : son nom, son adresse, une référence de contrat ou d’autres éléments liés à sa relation avec SUEZ.
Plus le fraudeur dispose d’informations exactes, plus il peut donner une apparence de légitimité à son scénario.
Les arnaques peuvent aussi passer par téléphone
Le risque ne concerne pas uniquement les e-mails.
Avec un nom, un numéro de téléphone et des informations relatives à un contrat, un escroc peut également tenter de contacter directement une victime en se présentant comme un conseiller SUEZ ou comme un prestataire intervenant pour le compte de l’entreprise.
L’objectif peut alors être de récupérer des informations supplémentaires, de faire effectuer un paiement ou d’inciter la victime à communiquer des données bancaires.
C’est précisément ce type de croisement de données personnelles qui rend les fuites particulièrement problématiques.
Une partie des données aurait été rendue accessible sur Internet
L’un des aspects les plus préoccupants de l’incident concerne le devenir des données après leur extraction.
Selon SUEZ, une partie des informations récupérées a été rendue accessible sur Internet.
Il ne s’agit donc pas uniquement d’un accès potentiellement non autorisé aux systèmes d’un prestataire.
Des données auraient effectivement été extraites puis diffusées ou rendues accessibles en ligne.
Pour autant, les informations actuellement disponibles ne permettent pas de déterminer :
- combien de fichiers ont été publiés ;
- quel volume de données a été mis en ligne ;
- combien de personnes sont concernées par cette publication ;
- sur quelle plateforme les données ont été rendues accessibles ;
- pendant combien de temps elles ont été disponibles ;
- quelles catégories précises de données ont été publiées.
Ces éléments font encore l’objet d’investigations.
SUEZ ne sait pas encore précisément qui est concerné
Il est important de distinguer l’exposition potentielle de la confirmation d’une fuite individuelle.
SUEZ précise dans sa communication :
« À ce stade, nous ne sommes pas en mesure de confirmer que vos données personnelles ont effectivement été dérobées. »
L’entreprise sait néanmoins que certaines données échangées avec ses clients pendant la période concernée ont pu être exposées.
Les investigations doivent donc permettre d’établir progressivement le périmètre exact de l’incident.
À ce stade, les informations communiquées ne permettent notamment pas de connaître le nombre définitif de clients concernés ni le nombre de personnes dont les coordonnées bancaires ou les pièces d’identité auraient effectivement été compromises.
Quels sont les risques pour les personnes concernées ?
Le risque dépendra directement de la nature des informations effectivement exposées.
Une adresse e-mail seule n’a évidemment pas les mêmes conséquences qu’un ensemble comprenant :
identité + adresse + téléphone + informations contractuelles + pièce d’identité + RIB.
Plus les données peuvent être croisées, plus les possibilités d’exploitation frauduleuse augmentent.
Les personnes effectivement concernées doivent donc notamment rester attentives aux :
- e-mails prétendant provenir de SUEZ ;
- SMS concernant une facture ou un remboursement ;
- appels téléphoniques prétendument effectués par SUEZ ;
- demandes de paiement inhabituelles ;
- demandes de coordonnées bancaires ;
- demandes de justificatifs ou de pièces d’identité ;
- liens invitant à se connecter ou à « régulariser » une situation.
Une information exacte concernant votre contrat ou votre relation avec SUEZ ne suffit pas à prouver que l’interlocuteur est légitime.
Que faire si vous êtes concerné par cette fuite ?
Si vous avez reçu une notification de SUEZ concernant cet incident, la première précaution consiste à conserver le message et à prendre connaissance précisément des données susceptibles d’être concernées.
Il est ensuite recommandé de renforcer sa vigilance face aux communications reçues dans les prochaines semaines et prochains mois.
Ne communiquez jamais un mot de passe, un code de validation ou des coordonnées bancaires simplement parce qu’un interlocuteur dispose déjà d’informations personnelles vous concernant.
En cas de doute, il est préférable de mettre fin à l’échange et de contacter directement SUEZ en utilisant ses coordonnées officielles, plutôt que de poursuivre une conversation à partir d’un lien, d’un numéro ou d’une adresse fournis dans le message reçu.
Si une pièce d’identité a effectivement été compromise, il faut également être particulièrement attentif aux tentatives d’utilisation frauduleuse de vos informations personnelles.
Ce que SUEZ confirme à ce stade
Les éléments communiqués permettent de retenir plusieurs faits :
- un prestataire technique de SUEZ Eau France a été victime d’une cyberattaque ;
- des personnes malveillantes ont pu accéder à certaines données ;
- certaines informations ont été extraites ;
- une partie des données a été rendue accessible sur Internet ;
- des noms, prénoms et coordonnées peuvent être concernés ;
- des documents administratifs liés aux contrats peuvent avoir été exposés ;
- des pièces d’identité et photographies peuvent être concernées dans certains cas ;
- des RIB et IBAN figurent parmi les données potentiellement exposées ;
- certains documents peuvent contenir des informations relatives à la situation personnelle ;
- SUEZ poursuit ses investigations avec le prestataire et des experts en cybersécurité.
Ce que l’on ne sait pas encore
Plusieurs questions restent cependant sans réponse.
- Le nombre exact de personnes concernées n’est pas communiqué à ce stade. Le prestataire technique à l’origine de la compromission n’est pas non plus identifié dans les éléments disponibles.
- Il reste également à déterminer le volume exact de données exfiltrées, le nombre de pièces d’identité ou de RIB concernés, ainsi que le volume précis de données rendues accessibles sur Internet.
- SUEZ doit également déterminer quelles informations ont effectivement été récupérées pour chaque personne potentiellement touchée.
Il convient donc de ne pas présenter l’ensemble des catégories citées comme ayant été systématiquement dérobées pour tous les clients.
Une nouvelle illustration du risque lié aux prestataires
Cette affaire rappelle enfin un problème récurrent dans les incidents de cybersécurité : une entreprise peut être exposée sans que ses propres systèmes informatiques aient nécessairement été directement piratés.
Les entreprises travaillent avec de nombreux prestataires qui peuvent traiter, stocker ou échanger des données personnelles pour leur compte. Une compromission chez l’un de ces partenaires peut donc avoir des conséquences sur leurs propres clients.
Pour les particuliers, cette réalité rend la protection des données personnelles particulièrement complexe : il est difficile de savoir quelles informations sont conservées par les entreprises avec lesquelles ils ont une relation, et encore plus difficile d’anticiper une attaque visant l’un de leurs prestataires.
Dans le cas de SUEZ Eau France, les investigations devront désormais permettre de déterminer précisément quelles données ont été exposées et quelles personnes sont réellement concernées.
Comment se protéger après une fuite de données personnelles ?
Une fuite de données ne signifie pas automatiquement qu’une usurpation d’identité va se produire. Elle augmente toutefois le risque, notamment lorsque plusieurs informations permettant d’identifier une personne sont réunies.
ID Protect accompagne les particuliers qui souhaitent mieux protéger leur identité et limiter les conséquences d’une exposition de leurs données personnelles.
Si vous avez été informé d’une fuite de données, que vous avez constaté une utilisation inhabituelle de vos informations ou que vous souhaitez simplement mettre en place une protection adaptée, vous pouvez contacter ID Protect pour faire le point sur votre situation et les solutions permettant de mieux protéger votre identité.
