Fuite de données Experian Afrique du Sud (Afrique du Sud, 2020)

Le 19 août 2020, Experian South Africa — la filiale locale du bureau de crédit mondial — a révélé qu'un individu se faisant passer pour un client légitime avait obtenu les données personnelles de 24 millions de consommateurs sud-africains et de 793 749 entreprises. L'affaire est largement citée comme l'une des plus grandes fuites de données de l'histoire de l'Afrique du Sud.

Ce qui s'est passé

Il ne s'agissait pas d'une intrusion réseau mais d'une attaque par ingénierie sociale / usurpation d'identité. Une personne s'est présentée comme un client Experian existant et autorisé et a demandé des données — prétendument pour générer des prospects marketing pour des services d'assurance et de crédit. Croyant la demande légitime, Experian a remis les données avant de déterminer ultérieurement que le demandeur était frauduleux.

Une fois la supercherie découverte, Experian a agi rapidement par voie judiciaire. L'entreprise a obtenu et exécuté une ordonnance Anton Piller — un recours civil de perquisition et de saisie — qui lui a permis de saisir le matériel du suspect et de récupérer et supprimer les données détournées. Experian a déclaré avoir identifié l'individu et que les données avaient été sécurisées avant une diffusion plus large.

Impact

• Les informations personnelles de 24 millions de consommateurs et de 793 749 entreprises ont été exposées.
• Experian a soutenu qu'aucune information de crédit ou financière des consommateurs et aucune coordonnée bancaire n'avaient été dérobées — principalement des coordonnées et données démographiques, en grande partie décrites comme déjà accessibles publiquement.
• L'incident a suscité un examen sévère de la part de l'Information Regulator d'Afrique du Sud, qui a publiquement exprimé sa stupeur et mis en cause la conformité de notification d'Experian au titre du POPIA (Protection of Personal Information Act), alors en période de transition vers son application.

Pourquoi c'est important

La fuite Experian Afrique du Sud est un cas d'école de défaillance de la couche humaine chez un courtier en données : l'attaquant n'a jamais eu besoin de contourner des contrôles techniques, car le bureau a volontairement remis les données à quelqu'un qu'il n'a pas authentifié. Elle a mis en lumière le risque systémique des bureaux de crédit détenant de vastes jeux de données à l'échelle de la population et les transmettant à des « clients », et est devenue un test précoce déterminant de l'application du POPIA — poussant les organisations sud-africaines à renforcer les contrôles de vérification des clients et de divulgation des données.