Comment une multinationale comme Allianz Life, spécialisée dans la gestion des risques et des assurances, a-t-elle pu se retrouver piégée dans une cyberattaque d’une telle ampleur, exposant les données personnelles de plus d’un million de clients américains ? Cette fuite massive soulève une question cruciale: à quel point peut-on encore faire confiance aux institutions censées protéger nos informations les plus sensibles ?
En juillet dernier, le site Have I Been Pwned, réputé pour son rôle d’alerte sur les fuites de données, a révélé un chiffre alarmant : le piratage du géant de l’assurance aurait compromis les données de 1,1 million de clients. Mais alors qu’Allianz avait reconnu que la « majorité » de ses 1,4 million de clients avaient été touchés, pourquoi refuse-t-elle jusqu’à présent de donner un chiffre exact sur l’étendue des dégâts ? Qu’a-t-elle à cacher ou à protéger en restant évasive ?
Les victimes n’ont pas seulement vu leur nom et coordonnées subtilisés. D’après Have I Been Pwned, tout un éventail de données personnelles a été aspiré : genre, date de naissance, emails, adresses physiques, numéros de téléphone, voire selon des communications destinées aux autorités américaines, des numéros de sécurité sociale. Le tout serait hébergé sur une base de données Salesforce, gérée dans le cloud – faut-il blâmer le fournisseur, ou la gestion de la sécurité par Allianz elle-même ?
Face à une telle vague de cyberattaques, entreprises et citoyens peuvent-ils encore croire au « cloud sécurisé » ?
Ce cas n’est d’ailleurs pas isolé. Coup sur coup, on apprend que d’autres géants, de Google à Cisco en passant par Qantas et le spécialiste des RH Workday, ont été frappés par la même vague d’attaques exploitant leurs données hébergées sur Salesforce. Un seul coupable, ou un défaut structurel du système cloud sous-jacent ? Qui doit rendre des comptes lorsque la porte d’entrée semble aussi bien exploitée par les hackers que négligée par les gestionnaires ?
L’enquête pointe le groupe de pirates « ShinyHunters », déjà connus pour leur habileté à manipuler psychologiquement les employés via l’ingénierie sociale. Mais la menace va plus loin car ce groupe envisagerait d’utiliser l’extorsion, menaçant de publier les données dérobées à moins de paiements, dans la plus pure tradition du ransomware. Devons-nous craindre une généralisation de ces méthodes mafieuses dans le paysage numérique des entreprises américaines ?
Allianz Life, en pleine investigation, se réfugie dans le mutisme. Or, face à la multiplication de telles attaques et le silence des entreprises impliquées, le public ne risque-t-il pas de perdre confiance dans l’écosystème numérique actuel ? Quelles responsabilités les géants du cloud comme Salesforce sont-ils prêts à admettre dans cette série noire ?
Alors que l’onde de choc des révélations continue de s’étendre, il reste à se demander : cette succession de piratages ne révèle-t-elle pas l’échec généralisé d’un modèle de sécurité devenu inadapté face aux cybercriminels d’aujourd’hui ?
Source : Techcrunch
