143 000 bénéficiaires d’aides victimes d’une cyberattaque

Contexte

L’Agence de services et de paiement (ASP) a subi une cyberattaque ayant exposé les données personnelles de 143 000 bénéficiaires franciliens d’aides, notamment le « Coup de pouce énergie ». Un pirate revendique avoir dérobé ces informations, confirmées par l’agence dans un courrier adressé aux victimes. L’ASP a repéré l’intrusion rapidement et notifié la CNIL.

Le problème

Un pirate a exploité une faille de sécurité pour accéder frauduleusement à un compte utilisateur de l’ASP. Il a ensuite extrait des avis de paiement émis en 2023 et 2024 en modifiant des numéros de requêtes, permettant de récupérer des documents d’autres bénéficiaires sans contrôle d’accès. Cette faille, appelée IDOR (Insecure Direct Object Reference), permet de contourner les restrictions en remplaçant des identifiants dans une URL ou une requête. L’ASP n’a pas précisé la nature exacte de la vulnérabilité corrigée.

Pourquoi c’est important

Les données exposées incluent noms, adresses, IBAN et montants des aides versées. Ces informations peuvent être utilisées pour des tentatives d’hameçonnage ou des démarches frauduleuses, comme des appels ou messages usurpant l’identité de l’ASP. Les fraudeurs exploitent souvent ce type de fuite pour rendre leurs arnaques plus crédibles, augmentant les risques de pertes financières pour les victimes.

Nos recommandations

1. 1

   Surveillez vos comptes bancaires et signalez immédiatement toute transaction suspecte à votre banque.

2. 2

   Soyez vigilant face à des communications (appels, emails, SMS) prétendant provenir de l’ASP ou d’autres organismes publics, même si elles semblent officielles.

3. 3

   Activez les alertes SMS ou notifications pour les mouvements sur vos comptes bancaires afin d’être informé en temps réel.

4. 4

   Conservez une trace écrite des échanges avec votre banque ou l’ASP en cas de litige futur.

5. 5

   En cas de doute, discutez-en avec Ernest, votre compagnon anti-arnaque