Fuites de données, IBAN dans la nature, quels risques ?

Depuis des mois des fuites de données massives se succèdent en France, chez des marchands en ligne, des organisations variées et dernièrement des opérateurs. A chaque fois les mêmes éléments sont récupérés par des groupes et organisations variés qui vont en faire commerce ou opérer avec.

J’entends souvent les utilisateurs râler après ces fuites de données. Pester contre le partenaire qui a laissé une faille suffisante dans son système mais… ne pas faire grand chose pour s’en prémunir. Je connais même des utilisateurs qui ne vont pas changer leur mot de passe d’eux même après avoir reçu l’information d’une fuite. Mot de passe qui est pourtant utilisé de manière identique sur des dizaines et des dizaines d’autres sites. La problématique est connue, le commun des mortels n’a pas envie de changer ses mots de passe pour chaque site. Il sait pertinemment que  c’est comme si il écrivait le code d’ouverture de sa porte affiché sur sa maison, mais il n’a pas le courage de tout  changer.

L’idéal est comme toujours d’avoir une technique de mémorisation permettant de créer un mot de passe différent facilement pour chaque site ou d’utiliser une application de gestion de mot de passe multiplateforme. Ce n’est souvent pas gratuit (encore que KeePass soit libre, open source, léger et gratuit) mais c’est peu cher par rapport à un vol de données effectivement utilisé par un groupe mafieux. L’emploi d’un Passkey est également une solution très intéressante dans laquelle investir du temps.

Si je vous parle de ces fuites de données, c’est parce que la présence d’IBAN dans les dernières affaires de ce genre me rappelle une mésaventure qui m’est arrivée il y a quelques temps. Je n’ai jamais su d’où venait cette fuite de données mais toujours est-il qu’un malandrin s’est retrouvé avec en sa possession mes coordonnées personnelles et mon IBAN. Et si il avait été plus malin et moins gourmand, il aurait pu ponctionner mon compte pendant longtemps.

Je me suis rendu compte d’un souci avec mon compte suite à un débit de 120€ dont je n’avais absolument aucun souvenir. L’intitulé indiquait une formation étrange depuis un service tout aussi bizarre. Evidemment, j’ai mené ma petite enquête et je me suis rendu compte que depuis trois mois des débits du même genre apparaissaient dans mes relevés pour des montants de 9.90€.

En analysant ces relevés, je suis parvenu à un service de vente de formations en ligne, un site à priori légitime, exploité de manière tout à fait illégitime par des escrocs. Le site permet de proposer des formations à n’importe qui, sur n’importe quel sujet. C’est juste une de ces fameuses plateformes de « mise en relation » entre divers acteurs. Plateforme qui prend évidemment une commission au passage en jouant le rôle de tiers de confiance. Problème, cette plateforme n’a aucun moyen de vérifier si la formation est réelle et même si elle est simplement délivrée. 

Résultat, une formation peut très bien s’intituler « EDF » ou « ASSURANCE ». Il est également facile de savoir quel est votre établissement bancaire à partir de votre IBAN et donc de générer un intitulé autour de cela comme des frais de gestion. Aucune limitation sur le nom de la formation n’est imposée et on peut choisir n’importe quel intitulé qui sera automatiquement lié avec le mois en cours dans votre relevé bancaire. Mais le pire c’est que le margoulin qui lance la  formation bidon peut ensuite utiliser le même site et vous créer un profil à votre nom, prénom et adresse, en changeant évidemment juste votre email pour le sien.  Pour le paiement, rien de plus simple, il suffit d’entrer… votre IBAN. Et voilà comment une personne mal intentionnée peut commencer à prélever régulièrement des sommes sur votre compte de manière totalement anonyme et en proposant un intitulé parfaitement invisible si vous n’y faites pas attention.

Contactée, ma banque a récupéré les sommes prélevées et a recrédité mon compte. Le problème est que si la personne qui avait récupéré mes informations et mon IBAN avait été un peu plus précautionneuse, avait par exemple débité pour  une formation « PRLVM SEPA ASSURANCE OCT » quelques euros, je n’aurais probablement pas fait attention plus que ça pendant des mois. Le temps pour cette personne de ponctionner mon compte et pour moi de perdre pas mal de sous.

La réglementation bancaire impose pour toutes les banques de rembourser jusqu’à 13 mois après le prélèvement une opération de prélèvement de ce type effectuée sans autorisation validée de votre part. C’est à dire en utilisant simplement un IBAN. La banque n’a pas forcément besoin de cette autorisation de prélèvement pour opérer. Peu de banques ne réclament cette autorisation de manière systématique. Surtout pour les petites sommes comme les prélèvements d’abonnements variés que nous avons tous. Pour autant, avec un intitulé de prélèvement qui peut changer de mois en mois en modifiant la prestation de formation ou avec un nom ressemblant à des prélèvements légitimes, la traque aux opérations frauduleuse peut s’avérer complexe et chronophage.

Un conseil donc, si votre IBAN a fuité, n’hésitez pas a éplucher vos comptes de manière systématique et traquez vos prélèvements pour détecter toute anomalie pendant les mois qui viennent.