Piratage de Bouygues Telecom : comment réagir après une fuite de nos données personnelles ?

Relativement épargnés jusque-là, les abonnés Bouygues Telecom ont à leur tour vu leurs données personnelles menacées lors d’une cyberattaque qui a compromis les informations de plus de 6 millions de clients. Voici comment réagir pour se protéger des éventuelles conséquences.

Ce serait la deuxième plus grande cyberattaque sur l’année écoulée après celle de Free en octobre 2024. Le piratage qui a touché Bouygues Telecom au début du mois d’août a permis aux intrus d’accéder aux données personnelles de 6,4 millions de clients, particuliers et professionnels.

Dans les informations compromises, certaines sont particulièrement sensibles à l’instar des données d’état civil et des coordonnées bancaires. Les risques d’usurpation d’identité ou de prélèvement bancaires frauduleux n’étant pas de zéro, il est important d’adopter ces réflexes afin de se protéger des conséquences de ce piratage.

Que risque-t-on si nos données ont fuité ?

Tout dépend de la nature des données volées. Après le cyber-casse, les lignes de données sont souvent mises en vente sur le dark web pour des dizaines de milliers de dollars. Des données personnelles nouvellement acquises peuvent ensuite être recoupées avec celles issues de piratages précédents afin de donner aux hackers un arsenal versatile pour mener leurs campagnes d’escroqueries.

Le piratage de Bouygues Telecom n’est donc qu’une partie du problème. C’est l’ensemble des cyberattaques qui ont touché les grands opérateurs ainsi que d’autres entreprises d’envergure (comme Air France tout récemment) qui permettent aux arnaques et piratages de se multiplier.

Avec vos données personnelles, les escrocs peuvent mener des opérations d’hameçonnage ultra-ciblées en mettant en avant des informations censées être privées (adresse postale, numéro de téléphone, établissement bancaire, numéro de contrat…). Associées à l’intelligence artificielle, ces campagnes de phishing sont de plus en plus redoutables, car toujours plus réalistes et sophistiquées.

Il y a le phishing, mais depuis quelque temps on parle aussi de vishing, et même de smishing. La première est une arnaque téléphonique dont le but est de soutirer des données personnelles avec un peu d’IA et beaucoup d’ingénierie sociale. La seconde fonctionne sur le même principe que le phishing et le vishing, mais tout se passe par SMS. À titre d’exemple, le fameux « Bonjour, c’est le livreur, vous êtes chez vous ?« .

Des conséquences plus graves que des faux mails

Une autre arnaque que l’on a pu observer suite aux fuites de données chez les opérateurs est le SIM-swapping. Elle consiste pour les hackers à « voler » votre numéro de téléphone. Pour ce faire, les escrocs contactent le service client de l’opérateur en usurpant votre identité grâce à vos données personnelles récoltées sur le dark web. Ils leur demandent une nouvelle carte SIM avec vos informations dessus, désactivant votre carte SIM au passage. Cela leur permet d’accéder à vos appels et SMS ainsi qu’à certains systèmes de double authentification.

Une autre arnaque provoquée par la fuite des IBAN est l’émission de fausses autorisations de prélèvement. Avec un IBAN seul, un escroc ne peut pas faire grand-chose, mais lorsqu’il est croisé avec d’autres données personnelles, il peut créer de faux mandats SEPA pour des prélèvements frauduleux. Concrètement, l’escroc peut prendre un abonnement Netflix ou dans une salle de sport, mais à vos frais. Un mode opératoire qui a été relayé par nos confrères de Numerama suite au piratage de Free.

Les réflexes à adopter après une fuite de données

Après une fuite de données d’une telle ampleur et avec plusieurs informations sensibles compromises, plusieurs réflexes sont à adopter pour prévenir les arnaques de vous atteindre. Le premier est d’informer vos proches, plus particulièrement les personnes âgées plus sensibles à ce genre d’escroqueries, notamment celles avec des techniques d’ingénierie sociale élaborées.

Si vous pensez vos données personnelles compromises, voici les mesures à mettre en place :

Mettez à jour tous vos systèmes : les mises à jour des OS de vos appareils comblent les failles de sécurité. Il faut impérativement les faire quand c’est possible, sur smartphone, tablette et ordinateur.
Utilisez un gestionnaire de mots de passe : l’une des erreurs les plus courantes est d’utiliser le même mot de passe pour tous ses comptes. Un gestionnaire de mots de passe permet d’en créer d’assez complexes pour chaque compte et de les sauvegarder.
Activez l’authentification à deux facteurs (2FA) : c’est une couche de sécurité supplémentaire qui prend la forme d’une deuxième étape d’authentification simple et rapide par mail ou SMS.
Soyez vigilants, tout le temps : il existe quelques petits réflexes à automatiser : ne jamais cliquer sur un lien suspect dans un mail ou un SMS, vérifier les connexions suspectes sur les boîtes mail et réseaux sociaux, jeter quotidiennement un œil à son compte en banque, activer les plafonds personnalisés ainsi que les notifications pour chaque transaction. Enfin, se méfier des appels téléphoniques se présentant comme votre conseiller bancaire ou votre opérateur. Si cela arrive, raccrochez et rappelez avec le numéro officiel.
Ne laissez pas traîner des données sensibles n’importe où : qu’il s’agisse de vos mots de passe ou de vos RIB, veillez à ne jamais laisser un bout de papier traîner n’importe où au risque qu’il ne se retrouve entre de mauvaises mains. Ne les laissez pas non plus dans un document Word ou dans un échange de mails au cas où votre PC se ferait hacker.

Les pouvoirs publics mettent également à disposition plusieurs sites et outils relatifs à la protection des données et accessibles à tous. Le site cybermalveillance.gouv.fr sert à sensibiliser chacun à la cybersécurité et à venir en aide aux victimes de fraude en ligne. Il y a aussi celui de la CNIL pour trouver des trucs et astuces afin de protéger ses données personnelles et faire valoir ses droits.

Enfin, si vous êtes victime d’une arnaque sur internet, la plateforme THESEE permet de déposer une plainte en ligne. La plateforme Perceval permet quant à elle de signaler les fraudes à la carte bancaire sur internet.

Que faire si un virement frauduleux apparaît sur mon relevé de compte ?

Si un prélèvement frauduleux apparaît sur le relevé de compte, il faut avertir sa banque et faire opposition dans un délai de 13 mois suivant la date du débit. Lorsque la fraude est signalée, la banque est tenue de rembourser la victime car responsable du manque de vigilance sur ces prélèvements sortis de l’ordinaire ou des failles de sécurité. Une banque peut refuser de rembourser son client seulement si elle prouve qu’il y a eu une négligence grave de sa part.

Certaines banques proposent de mettre en place une liste blanche pour les prélèvements bancaires. Il s’agit de la liste de vos bénéficiaires de confiance, les seuls habilités à recevoir des virements depuis votre compte. Il est bien sûr possible de la modifier en rajoutant ou supprimant des bénéficiaires au fil du temps (au cas où vous auriez « oublié » le service des impôts).

Retrouvez un résumé du meilleur de l’actu tech tous les matins sur WhatsApp, c’est notre nouveau canal de discussion Frandroid que vous pouvez rejoindre dès maintenant !