Que nous apprend la condamnation de la banque et de l’opérateur téléphonique parce qu’ils n’ont pas protégé les clients du phishing

Le tribunal de Milan (VIe Section Civile) a condamné à une peine énorme compensation financière une importante institution bancaire italienne et l’un des principaux opérateurs téléphoniques en relation avec une opération de phishing commise via ce que l’on appelle SIM Swap, c’est-à-dire obtenir une copie de la carte SIM de la victime et le détournement conséquent des codes d’authentification et de sécurité sur le smartphone de l’escroc.

Les victimes de l’escroquerie, défendues par les avocats Andrea Monti et Lorenzo Vigasio, ont a subi des dommages d’environ 200 mille euros et la sentence (qui peut encore faire l’objet d’un appel) est importante avant tout parce qu’elle met noir sur blanc certains points fondamentaux :

• Que authentification smartphone adoptée par la banque il s’agissait du « strict minimum » pour garantir la sécurité des accès mais pas du « maximum possible » (on aurait pu faire bien mieux, en termes simples) ;
• De même, la norme de procédures adoptées par l’opérateur téléphonique pour délivrer le duplicata de la SIM n’était pas suffisant pour établir si le demandeur y avait réellement droit (s’il était la personne qu’il prétendait être), ce qui a permis à l’agresseur d’usurper l’identité des victimes et de commettre la fraude.

Chat

WhatsApp et l’arnaque au code à 6 chiffres : qu’est-ce que c’est, comment ça marche, comment se défendre

par Emanuele Capone

29 mai 2024

Là encore, comme on peut le comprendre à la lecture du texte de la déclaration : il ne suffirait pas d’avoir mis en place campagne informative sul phishing et sur les risques encourus en ligne car « de tels comportements, bien qu’indispensables à la création d’une culture qui sensibilise les consommateurs aux dangers liés aux opérations bancaires et en particulier aux opérations en ligne, ne sont pas adaptés pour éviter la perpétration de ce type d’activités ». fraude, en tenant compte de la manière dont l’e-mail ou des informations figurant sur le site Internet du prestataire de services de paiement sur la manière dont la fraude en ligne est réalisée ne donne aucune garantie de lecture et de compréhension efficace de la part du client et ne donne pas non plus de garantie de reconnaissance effective des tentatives de fraude”.

Pour faire simple : il ne suffit pas d’envoyer aux clients ou de publier sur votre site des pages et des pages d’informations sur d’éventuelles arnaques (informations que la grande majorité des gens ne lisent même pas) pour dire que tout a été fait pour protéger ses clients de la cybercriminalité. Ce n’est pas suffisanttel qu’établi par le juge.

Comme on le sait, en Italie, chaque cas est une histoire en soi. Ce n’est pas comme si cette décision créait un précédent. Et pourtant, il faut au moins une sonnette d’alarme : la décision est importante car elle fixe des critères très clairs sur la obligations de sécurité qui doivent être respectées par ceux qui protègent la vie numérique des personnesnon seulement dans les aspects économiques, mais aussi et surtout dans ceux liés à l’interaction avec les services numériques des administrations et organismes. En pensant en particulier à Portefeuille informatique et autres Dossier de santé électronique et la possibilité de conserver en ligne une grande partie de nos documents ou données sensibles, il s’agit de passer d’outils et de procédures de protection qui sont « le strict minimum » à d’autres qui sont véritablement « le maximum possible ». C’est quelque chose que le Garant de la confidentialité établit également, entre autres choses.

@capoema