En septembre 2018, British Airways a signalé une grave violation de la sécurité des données à l’ICO, l’autorité britannique de protection des données. Cette situation, survenue suite à un détournement de trafic vers un faux site, a exposé les informations personnelles d’environ 500 000 clients, y compris des détails sensibles comme des mots de passe et des numéros de carte de crédit. Selon le règlement GDPR, toute violation de données doit être notifiée dans un délai de 72 heures, sauf si elle ne présente pas de risque pour les droits des individus. Ce cas de phishing illustre parfaitement comment des cybercriminels utilisent des techniques sophistiquées pour tromper les victimes en se faisant passer pour des entités de confiance. À la suite de l’incident, British Airways a coopéré avec les enquêtes et a renforcé ses mesures de sécurité. Cependant, l’ICO a proposé une amende record de 204 millions d’euros, soulignant la nécessité pour les entreprises de protéger les données personnelles des utilisateurs. Elizabeth Denham, responsable de l’ICO, a fait remarquer que la protection des données personnelles est essentielle et que les organisations doivent prendre des mesures adéquates pour éviter toute atteinte à la vie privée. La décision finale de l’ICO prendra en compte les arguments de British Airways et les avis d’autres autorités de protection des données. Ce cas met en lumière l’importance cruciale de la cybersécurité dans le monde numérique d’aujourd’hui.
En septembre 2018, British Airways notifie à l’ICO (l’autorité anglaise de protection des données personnelles) un incident de sécurité.
Nul n’ignore désormais que conformément à l’article 33 GDPR : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard ».
Le data breach est « une violation de la sécurité entraînant de manière accidentelle ou illicite la destruction, la perte, l’altération, la divulgation ou la consultation non autorisées de données à caractère personnel transmises, conservées ou traitées d’une autre manière » (art. 4).
Alors qu’à l’origine, le projet de règlement européen limitait l’obligation de notification aux seules violations susceptibles d’exposer les personnes physiques à un risque élevé au regard de leurs droits et libertés, la version finale du GDPR a inversé cette logique : toute violation de donnée doit faire l’objet d’une notification sauf si la violation ne paraît pas faire courir de risque aux droits et libertés individuelles des personnes concernées.
Dans le cas de British Airways, la violation a permis de détourner le trafic destiné au site officiel vers un faux site. Environ 500.000 clients ont été pris dans la fraude, qui a permis aux attaquants de s’emparer de données telles que des informations relatives à la connexion, aux cartes de paiement et aux réservations de voyage, ainsi que les noms et adresses.
Un cas classique de phishing (hammeconnage) : La technique consiste à faire croire à la victime qu’elle s’adresse à un tiers de confiance [en l’occurence British Airways] afin de lui soutirer des renseignements personnels : mot de passe, numéro de carte de crédit, numéro ou photocopie de la carte nationale d’identité, date de naissance, etc. En effet, le plus souvent, une copie exacte d’un site internet est réalisée dans l’optique de faire croire à la victime qu’elle se trouve sur le site internet officiel où elle pensait se connecter. La victime va ainsi saisir ses codes personnels qui seront récupérés par celui qui a créé le faux site, il aura ainsi accès aux données personnelles de la victime et pourra dérober tout ce que la victime possède sur ce site. (Wikipedia)
British Airways a coopéré à l’enquête et a amélioré ses outils techniques de protection.
Au terme de l’enquête, menée en collaboration avec d’autres autorités dans le cadre du nouvel article 60, l’ICO vient donc de communiquer un projet de décision infligeant une amende extrêmement élevée : 204 millions d’euros.
La responsable de l’ICO, Mme Elizabeth Denham, a fait le commentaire suivant : « People’s personal data is just that – personal. When an organisation fails to protect it from loss, damage or theft it is more than an inconvenience. That’s why the law is clear – when you are entrusted with personal data you must look after it. Those that don’t will face scrutiny from my office to check they have taken appropriate steps to protect fundamental privacy rights.”
L’ICO examinera attentivement les arguments que British Airways ne manquera pas de présenter, ainsi que les observations des autres autorités de protection des données concernées, avant de prendre sa décision finale.
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
