Salt confirme un incident de sécurité : des données personnelles de clients potentiellement exposées Salt Mobile SA, l’un des trois principaux opérateurs télécoms suisses, confirme un incident de sécurité concernant certaines données personnelles de ses clients. L’opérateur indique avoir identifié une utilisation abusive d’un accès existant à un système périphérique, sans intrusion dans ses systèmes principaux. Salt avait lancé des vérifications après la diffusion en ligne d’allégations faisant état d’une possible fuite de données clients. À l’issue de ces investigations, l’opérateur affirme avoir exclu une intrusion dans ses systèmes, mais confirme qu’un accès existant à un système périphérique a été utilisé de manière abusive. Les données personnelles potentiellement concernées comprennent les noms, prénoms, adresses postales, numéros de téléphone mobile, dates de naissance et adresses e-mail. Salt, l’un des principaux opérateurs télécoms suisses Salt Mobile SA est un opérateur suisse de téléphonie mobile, internet fixe et télévision. Anciennement connue sous le nom d’Orange Suisse, l’entreprise fait partie des trois principaux opérateurs télécoms du pays aux côtés de Swisscom et Sunrise. Salt revendique plus de 1,7 million de clients mobiles postpayés et plus de 260 000 clients internet fixe, soit près de deux millions d’abonnements résidentiels et professionnels. L’entreprise est contrôlée par NJJ, le groupe d’investissement de Xavier Niel. Des allégations de fuite de données diffusées en ligne Salt explique avoir lancé des investigations après la diffusion en ligne d’allégations concernant une possible fuite de données de clients. L’opérateur ne précise pas, dans sa communication, la source de ces allégations ni le volume de données qui aurait été mis en circulation. Les équipes de Salt indiquent avoir effectué des vérifications approfondies afin de déterminer si ses systèmes avaient été compromis. Pas d’intrusion dans les systèmes principaux selon Salt Selon Salt, les investigations ont permis d’exclure une intrusion dans les systèmes de l’opérateur. L’entreprise indique cependant avoir identifié une utilisation abusive d’un accès existant à un système périphérique. Autrement dit, l’incident ne serait pas lié à une compromission directe de l’infrastructure centrale de Salt mais à un accès déjà existant ayant été utilisé de manière non autorisée. L’opérateur ne précise pas publiquement : • la nature exacte du système périphérique concerné ; • l’identité de la personne ou du groupe ayant utilisé cet accès ; • la manière dont cet accès a été obtenu ou détourné ; • la durée pendant laquelle il a été utilisé ; • le nombre exact de comptes ou de clients concernés. Noms, adresses, téléphones et dates de naissance potentiellement concernés Salt indique que les données personnelles susceptibles d’avoir été concernées se limitent aux informations suivantes : • nom ; • prénom ; • adresse postale ; • numéro de téléphone mobile ; • date de naissance ; • adresse e-mail. La combinaison de ces données peut néanmoins présenter un risque important pour les personnes concernées. Un attaquant disposant d’un nom, d’une adresse, d’un numéro de téléphone, d’une date de naissance et d’un e-mail peut notamment construire des campagnes de phishing ou de fraude particulièrement crédibles. Aucun mot de passe ni donnée bancaire concernés selon Salt Salt affirme que l’accès au système concerné était limité. L’opérateur indique qu’aucune donnée sensible telle que : • les mots de passe ; • les coordonnées bancaires ; • l’historique client n’est concernée par l’incident. Cette distinction est importante : l’incident porte sur des données d’identification et de contact, mais Salt affirme que les données permettant directement d’accéder aux comptes ou aux moyens de paiement n’ont pas été exposées. Un risque de phishing et d’usurpation d’identité Même en l’absence de mots de passe ou de coordonnées bancaires, les données potentiellement exposées peuvent être exploitées à des fins frauduleuses. La présence simultanée d’un nom, d’une date de naissance, d’une adresse postale, d’un numéro de téléphone et d’une adresse e-mail peut notamment faciliter : • des campagnes de phishing ciblé ; • des appels frauduleux se faisant passer pour Salt ; • de faux messages du support client ; • des tentatives de récupération d’identifiants ; • des fraudes utilisant des informations personnelles réelles ; • certaines tentatives d’usurpation d’identité. Salt recommande ainsi à ses clients de rester particulièrement vigilants face aux e-mails, SMS et appels suspects utilisant leurs informations personnelles. Salt rappelle qu’il ne demande jamais certaines informations sensibles L’opérateur précise que Salt et ses partenaires ne demanderont jamais à leurs clients de transmettre par e-mail, SMS ou téléphone : • un mot de passe ; • des coordonnées bancaires ; • ou toute autre information confidentielle. La présence de véritables informations personnelles dans u
Salt Mobile : fuite de données — ce que l’on sait, que faire
