Nouveau vol massif de données personnelles chez Orange

Le Monde.fr avec AFP | 06.05.2014 à 22h11 • Mis à jour le 07.05.2014 à 08h39

Les données personnelles de 1,3 million de clients et de prospects sont concernées. C'est la deuxième fois en trois mois que ce genre d'incident touche l'opérateur téléphonique.

L'opérateur téléphonique Orange a reconnu, mardi 6 mai, un nouveau vol de données personnelles chez 1,3 million de clients et de prospects, trois mois après une intrusion qui avait touché près de 800 000 d'entre eux.

« Un nombre limité de données personnelles concernant des clients et des prospects » ont été copiées lors d'une intrusion détectée le 18 avril : noms, prénoms, et, quand ils étaient renseignés, l'adresse mail, les numéros de téléphone mobile et fixe, l'opérateur mobile et Internet et la date de naissance, a annoncé le groupe dans un message.
« Les données ainsi récupérées pourraient être utilisées pour contacter les personnes concernées par courrier électronique, par SMS ou par téléphone, notamment à des fins de phishing », prévient Orange.

PHISHING ET « CLICK TO CALL BACK »

Le « phishing » est une technique de piratage qui vise à recueillir des informations confidentielles (codes d'accès ou mots de passe) par l'envoi de courriels censés provenir de banques ou d'opérateurs. Les victimes trompées par la qualité supposée de l'expéditeur fournissent elles-mêmes leurs données personnelles.

Des courriels ont été envoyés pour prévenir toutes les personnes concernées, a précisé Orange. Le message qu'elles ont reçu contient un lien « click to call back » (« cliquer pour qu'on vous rappelle »), et l'opérateur s'engage à les rappeler dans les quarante-huit heures pour répondre à leurs questions.

Orange victime d'une nouvelle fuite de données - 07/05

Trois mois après un vol de données, l'opérateur de téléphonie mobile, Orange, a reconnu une nouvelle fuite qui concernerait1,3 million, mardi. A la suite d'une erreur, Orange aurait rendu accessible les données confidentielles de ses clients comme les noms, les prénoms, e-mail et numéros de téléphone: ces fuites n'entrainent pas de conséquences directes. Le vrai piège porte le nom de "Phishing", une faille dans laquelle se sont engouffrés les pirates.

Le porte-parole du groupe a expliqué le délai entre la découverte de l'intrusion, le 18 avril, et sa divulgation, le 5 mai, par la nécessité de quantifier le vol de données, de « verrouiller le réseau technique » et de « s'assurer que la faille n'existe plus », puis de « dédoublonner les listes », qui contenaient souvent plusieurs fois les mêmes noms.

Le 2 février, Orange avait reconnu le vol des données personnelles de 800 000 de ses clients Internet. En novembre 2013, lors d'une présentation des innovations de l'opérateur, son PDG, Stéphane Richard, avait tenté de rassurer ses clients en signant solennellement une charte s'engageant à protéger leurs données personnelles.

Lire sur le blog SOS Conso : Les e-mails pirates, la banque et le client
http://splashurl.com/lzjh3yj

Phishing: les astuces pour se protéger convenablement

Le HuffPost | Par Grégory Raymond Publication: 07/05/2014 10h59 CEST

PHISHING - Mauvaise nouvelle, si vous êtes abonné Orange il y a des risques que vous fassiez partie des 1,3 millions de personnes dont les données personnelles ont été volées par des pirates. Et même si vous n'êtes pas client, le risque existe car la base de "prospects" a été également attaquée (le prospect étant l'abonné d'un concurrent qu'Orange va aller démarcher).

L'intrusion repérée le 18 avril par l'opérateur fait suite à une autre attaque, sur 800.000 clients début 2014. Noms, prénoms, et, quand ils étaient renseignés, l'adresse mail, les numéros de téléphone mobile et fixe, l'opérateur mobile et Internet, date de naissance ont été dérobés... Avec une seule idée en tête pour les hackers: le "phishing".

Le phishing, qu'est-ce que c'est? C'est une technique de piratage qui vise à recueillir des informations confidentielles (codes d'accès ou mots de passe) par l'envoi de courriels censés provenir de banques ou d'opérateurs téléphoniques. Les victimes trompées par la qualité supposée de l'expéditeur fournissent elles-mêmes leurs données personnelles.

Par exemple, vous êtes susceptible de recevoir un faux mail d'Orange ou de la Banque Postale, vous demandant de cliquer sur un lien redirigeant vers un faux portail. Sur cette copie conforme du site officiel, on vous demande de saisir vos coordonnées bancaires, sous prétexte d'une mise à jour. C'est là que vous tombez dans le panneau: tout est envoyé au pirate. Et c'est très difficile à contester, puisque vous lui avez envoyé ces données volontairement.

Voici les méthodes pour vous rendre compte du phishing

Etudiez l'e-mail. Une banque ou un opérateur ne vous demandera jamais de saisir vos informations personnelles à travers un e-mail. Partez du principe qu'il vaut mieux taper l'adresse de sa banque dans votre navigateur pour éviter tout risque. Si une banque devait vous avertir d'un événement important, elle préférera vous envoyer un courrier ou vous contacter par téléphone.

Les fautes d'orthographe. Un mail officiel ne comportera pas de fautes d'orthographe, ni de syntaxe. Si un pirate s'amuse à écrire son propre texte, il y a des chances qu'il laisse des erreurs derrière lui. Alors si on vous envoie un mail alarmiste criblé de fautes, ne courrez pas.

Le cadenas. Si vous entrez dans une phase confidentielle (saisie de coordonnées bancaires), un petit cadenas doit apparaître dans l'URL, près de l'adresse (www). Cela veut dire que vos données sont protégées par un cryptage. Si ce logo est absent, il y a de fortes chances que le site soit malveillant.

L'adresse du site. Si vous êtes redirigé vers un faux site, tout sera copié à l'identique. Difficile, donc, de se rendre compte de la combine... sauf une chose: l'adresse. Si Orange vous contacte, le site devra fournir l'URL suivante: www.orange.fr. Un site de phishing offrira une adresse à rallonge n'ayant rien à voir avec celle-ci. C'est un des meilleurs indices pour barrer la route aux piratages.

Voici un cas typique de phishing

Ce qui doit mettre la puce à l'oreille

On peut noter quelques fautes d'orthographe ("90 euro"), de syntaxe ("du la similitude", "pour a acceder votre formulaire"), absence d'accents... Ensuite, on suscite la peur avec ce débit de 90 euros, tout en vous rassurant immédiatement avec une offre de remboursement en ligne. Jamais Orange ne ferait ça: il passerait par une lettre classique pour s'excuser. Ce n'est pas au client de faire ce genre de démarche.

Si vous cliquez quand même sur le lien, voici l'adresse où vous serez redirigé: "http://splashurl.com/lbjyq6e Absolument rien à voir avec http://splashurl.com/nxesmrg Ce serveur pirate héberge une copie conforme du site d'authentification à votre compte orange.

LIRE AUSSI » Sécuriser ses données: 8 astuces pour éviter les piratages
http://splashurl.com/loos59j