Voici combien valent vos données personnelles volées sur le dark web

Les violations de données sont devenues courantes et des milliards d’enregistrements sont volés dans le monde chaque année. La plupart de la couverture médiatique des violations de données a tendance à se concentrer sur la façon dont la violation s’est produite, le nombre d’enregistrements volés et l’impact financier et juridique de l’incident pour les organisations et les personnes touchées par la violation. Mais qu’advient-il des données volées lors de ces incidents?

Comme un chercheur en cybersécurité, Je traque les violations de données et le marché noir des données volées. La destination des données volées dépend de qui est à l’origine d’une violation de données et de la raison pour laquelle ils ont volé un certain type de données. Par exemple, lorsque les voleurs de données sont motivés à embarrasser une personne ou une organisation, à dénoncer des actes répréhensibles ou à améliorer la cybersécurité, ils ont tendance à divulguer des données pertinentes dans le domaine public.

En 2014, des hackers soutenus par la Corée du Nord volé les données des employés de Sony Pictures Entertainment tels que les numéros de sécurité sociale, les dossiers financiers et les informations sur les salaires, ainsi que les e-mails entre les cadres supérieurs. Les pirates ont ensuite publié les e-mails pour embarrasser l’entreprise, peut-être en représailles d’avoir publié un la comédie sur un complot visant à assassiner le leader nord-coréen, Kim Jong Un.

Parfois, lorsque les données sont volées par les gouvernements nationaux, elles ne sont ni divulguées ni vendues. Au lieu de cela, il est utilisé pour l’espionnage. Par exemple, la société hôtelière Marriott a été victime d’une violation de données en 2018 au cours de laquelle des informations personnelles sur 500 millions de clients ont été volées. Les principaux suspects de cet incident étaient des pirates informatiques soutenus par le gouvernement chinois. Une théorie est que le gouvernement chinois a volé ces données dans le cadre d’un effort de collecte de renseignements visant à collecter des informations sur les représentants du gouvernement américain et les dirigeants d’entreprise.

Mais la majorité des hacks semblent concerner la vente des données pour gagner de l’argent.

C’est (surtout) une question d’argent

Bien que les violations de données puissent constituer une menace pour la sécurité nationale, 86% sont une question d’argent et 55% sont commises par des groupes criminels organisés, selon Rapport annuel sur les violations de données de Verizon. Les données volées finissent souvent par être vendues en ligne sur le web sombre. Par exemple, en 2018, les pirates mis en vente plus de 200 millions de disques contenant les informations personnelles d’individus chinois. Cela comprenait des informations sur 130 millions de clients de la chaîne hôtelière chinoise Huazhu Hotels Group.

De même, les données volées à Cible, Beauté Sally, PF Chang, Fret portuaire et Home Depot est apparu sur un site connu du marché noir en ligne appelé Rescator. S’il est facile de trouver des marchés tels que Rescator via une simple recherche Google, d’autres marchés sur le Web sombre ne peuvent être trouvés qu’en utilisant navigateurs Web spéciaux.

Les acheteurs peuvent acheter les données qui les intéressent. Le moyen le plus courant de payer la transaction est avec des bitcoins ou via Western Union. Les prix dépendent du type de données, de sa demande et de son offre. Par exemple, un gros surplus de volé informations personnellement identifiables a fait baisser son prix de 4 USD pour les informations sur une personne en 2014 à 1 USD en 2015. Vidages d’e-mails contenant entre cent mille et quelques millions d’adresses e-mail coûtent 10 $, et bases de données des électeurs de divers états se vendent 100 $.

Où vont les données volées

Les acheteurs utilisent les données volées de plusieurs manières. Les numéros de carte de crédit et les codes de sécurité peuvent être utilisés pour créer des cartes clonées pour effectuer des transactions frauduleuses. Les numéros de sécurité sociale, les adresses personnelles, les noms complets, les dates de naissance et d’autres informations personnellement identifiables peuvent être utilisés dans le vol d’identité. Par exemple, l’acheteur peut demander des prêts ou des cartes de crédit au nom de la victime et produire des déclarations de revenus frauduleuses.

parfois des informations personnelles volées sont achetées par firmes de marketing ou des entreprises spécialisées dans les campagnes de spam. Les acheteurs peuvent également utiliser des e-mails volés pour le phishing et d’autres attaques d’ingénierie sociale et pour diffuser des logiciels malveillants.

Les pirates informatiques ciblent depuis longtemps les informations personnelles et les données financières car elles sont faciles à vendre. Les données sur les soins de santé devenir une grande attraction pour les voleurs de données au cours des dernières années. Dans certains cas, la motivation est l’extorsion.

Un bon exemple est le vol de données de patients au cabinet finlandais de psychothérapie Vastaamo. Les pirates ont utilisé les informations qu’ils ont volées pour demander une rançon non seulement à Vastaamo, mais aussi à ses patients. Ils patients envoyés par e-mail avec la menace d’exposer leurs dossiers de santé mentale à moins que les victimes ne paient une rançon de 200 euros en bitcoins. Au moins 300 d’entre eux des documents volés ont été mis en ligne, selon un rapport d’Associated Press.

Les données volées, y compris les diplômes médicaux, les licences médicales et les documents d’assurance peuvent également être utilisées pour forger une formation médicale.

Comment savoir et quoi faire

Que pouvez-vous faire pour minimiser votre risque de vol de données? La première étape consiste à savoir si vos informations sont vendues sur le dark web. Vous pouvez utiliser des sites Web tels que haveibeenpwned et IntelligenceX pour voir si votre e-mail faisait partie de données volées. C’est aussi une bonne idée de s’abonner à services de protection contre le vol d’identité.

Si vous avez été victime d’une violation de données, vous pouvez prendre ces étapes pour minimiser l’impact: informez les agences d’évaluation du crédit et les autres organisations qui collectent des données vous concernant, telles que votre fournisseur de soins de santé, votre compagnie d’assurance, les banques et les sociétés de cartes de crédit, et modifiez les mots de passe de vos comptes. Vous pouvez également signaler l’incident à la Federal Trade Commission pour obtenir un plan sur mesure pour se remettre de l’incident.

Cet article de Ravi Sen, Professeur agrégé de gestion de l’information et des opérations, Université Texas A&M, est republié à partir de La conversation sous une licence Creative Commons. Lis le article original.