Rançongiciel chez Phone House Espagne

Le 8 avril 2021, The Phone House España — la filiale espagnole de la chaîne européenne de distribution de téléphonie mobile (groupe Dixons Carphone) — a été frappée par une attaque par rançongiciel menée par le gang Babuk. Devant le refus de l'entreprise de payer, les attaquants ont déversé en ligne environ 100 Go de données clients, dans l'une des fuites les plus marquantes du secteur de la distribution en Espagne.

Ce qui s'est passé

Babuk, une opération de rançongiciel-as-a-service apparue début 2021, a chiffré les systèmes de Phone House et exfiltré des bases de données internes avant de déployer son outil de verrouillage. Suivant le modèle désormais classique de la double extorsion, le groupe a inscrit l'entreprise sur son site de fuite le 11 avril et lancé un compte à rebours public exigeant un paiement pour empêcher la publication.

The Phone House a refusé. Le 22 avril, les attaquants ont publié l'intégralité du butin. Si Babuk se vantait de détenir des données sur 13 millions de clients, des analyses ultérieures — dont celle du CERT national espagnol, l'INCIBE — ont conclu que la population réellement touchée était plus proche de 3 millions de personnes, incluant clients actuels, anciens clients, salariés et fournisseurs.

Conséquences

• Les données divulguées comprenaient noms complets, numéros d'identité nationale (DNI), adresses postales, adresses e-mail, numéros de téléphone, nationalités, dates de naissance et coordonnées bancaires, ainsi que des données liées aux appareils telles que codes IMEI et informations sur les polices d'assurance.
• L'intégralité de la fuite ayant été publiée, les personnes concernées ont été exposées à des risques durables d'hameçonnage, d'usurpation d'identité et de fraude par SIM-swapping — des risques irréversibles une fois les données rendues publiques.
• La fuite a rapidement alimenté Have I Been Pwned et d'autres services de surveillance, permettant aux clients de confirmer leur exposition.

Suites réglementaires

Le 27 décembre 2023, l'autorité espagnole de protection des données, l'AEPD, a infligé à The Phone House une amende de 6,5 millions d'euros — l'une des plus lourdes jamais prononcées contre un distributeur espagnol. La sanction se décompose en 4 millions d'euros pour violation de l'article 5.1(f) du RGPD (intégrité et confidentialité) et 2,5 millions d'euros pour violation de l'article 32 (sécurité du traitement). Les enquêteurs ont constaté que l'entreprise s'était appuyée sur un algorithme de chiffrement non sécurisé et manquait de garanties techniques et organisationnelles adéquates.

Pourquoi c'est important

Le cas Phone House souligne que, sous le RGPD, refuser la rançon ne met pas fin à la responsabilité. Même lorsqu'une victime décline à juste titre de payer les criminels, les régulateurs examinent si les failles de sécurité sous-jacentes ont rendu la fuite possible. Pour un distributeur détenant des données d'identité et bancaires sur des millions de consommateurs, un chiffrement faible et des contrôles insuffisants se sont traduits directement par une amende de plusieurs millions d'euros — indépendante et additionnelle au préjudice réputationnel de la fuite elle-même.