Vol de données de cartes du Korea Credit Bureau

En janvier 2014, la Corée du Sud a été ébranlée par l'un des plus grands vols de données financières de son histoire : un sous-traitant du Korea Credit Bureau (KCB) avait dérobé les données de cartes et d'identité d'environ 20 millions de clients — soit près de 40 % de la population — et les avait revendues à des démarcheurs.

Ce qui s'est passé

Le KCB est une société d'évaluation du crédit des particuliers qui développe des systèmes anti-fraude pour les émetteurs de cartes sud-coréens. Un consultant envoyé par le KCB travaillait sur place chez trois grands émetteurs — KB Kookmin Card, Lotte Card et NH Nonghyup Card — où il disposait d'un accès légitime à leurs bases de données clients.

Pendant environ 18 mois, il a copié en secret d'énormes volumes d'enregistrements clients sur un disque externe USB et les a sortis du bâtiment. La violation a été possible en grande partie parce que les données sensibles n'étaient pas chiffrées, les rendant lisibles par quiconque ayant accès à la base. Il a ensuite revendu les données à des sociétés de démarchage téléphonique et à des courtiers en prêts, dont les dirigeants ont également été arrêtés.

Ce qui a été volé

Les enregistrements dérobés comprenaient les noms, numéros d'enregistrement de résident (identifiant national), numéros de téléphone, adresses, numéros de carte bancaire et dates d'expiration des clients. La combinaison des numéros d'identité nationale et des coordonnées complètes de cartes rendait ces données particulièrement dangereuses pour l'usurpation d'identité et la fraude financière.

Impact et conséquences

• Environ 20 millions de clients de cartes ont été touchés — une part stupéfiante des quelque 50 millions d'habitants de la Corée du Sud.
• La colère du public a été intense. Les dirigeants des trois unités cartes ont présenté publiquement leurs excuses et proposé de démissionner.
• En février 2014, la Financial Services Commission a suspendu les trois émetteurs de l'émission de nouvelles cartes et de l'acquisition de nouveaux clients pendant trois mois, et a infligé des amendes.
• Des millions de clients ont demandé le remplacement de leur carte, et l'épisode a déclenché un débat national sur l'usage généralisé des numéros d'enregistrement de résident.

Pourquoi c'est important

Le vol du KCB est le cas canonique sud-coréen de menace interne et de minimisation des données. Il a révélé comment des sous-traitants de confiance disposant d'un large accès aux bases — combinés à un stockage non chiffré et à de faibles contrôles des supports amovibles — peuvent causer un préjudice national sans aucun « piratage » externe. Il a entraîné des réformes limitant la collecte et l'usage des numéros d'enregistrement de résident, imposé un chiffrement renforcé des données financières et durci la surveillance du personnel informatique externalisé dans tout le secteur financier coréen.