Des données bancaires volées, à foison

C’est l’histoire rocambolesque de la semaine. S*, un client de la BCGE, a été contacté par sa banque il y a une dizaine de jours, car l’établissement avait bloqué son compte. Pourquoi? La banque avait trouvé sur le darknet des données confidentielles appartenant à ce client. A savoir son identifiant pour la connexion au système d’ebanking de la BCGE et son mot de passe, dont une partie des caractères n’était pas visible. Son compte n’a pas été vidé, ni même fait l’objet de transactions illicites. Pour s’y connecter, il faut en effet franchir une troisième phase d’identification, via un système supplémentaire. La banque lui propose d’ouvrir un autre compte, par sécurité, mais S décide alors de conserver l’existant. Et il veut surtout déposer une plainte pénale.

S demande donc davantage d’informations à la BCGE (qui n’a pas souhaité répondre à nos questions). Il aimerait savoir sur quel site de cette partie cachée d’internet se trouvaient ses données, quand elles ont été repérées, si d’autres clients sont dans la même situation que lui, etc. Bref, de quoi étayer sa plainte, dit-il.

«Password stealer»

Sa banque lui répond qu’elle utilise un prestataire de services spécialisé qui recherche des informations confidentielles ayant fuité sur le dark web. Et que ce prestataire refuse de divulguer ses sources ou d’autres informations, si ce n’est que les données en question ont été captées par un logiciel malveillant de type «password stealer», qui vole les mots de passe enregistrés dans les navigateurs internet. La banque conseille à son client de nettoyer son ordinateur, de formater son disque dur et de réinstaller ses logiciels. Sous-entendu: le problème viendrait de son côté.

Mais S n’y croit pas. Il affirme avoir changé d’ordinateur en décembre dernier et ne l’avoir jamais utilisé pour se connecter à l’e-banking de sa banque. Il paie ses factures via son téléphone portable, qu’il a aussi renouvelé en décembre. «Mon matériel n’est pas compromis; si mon ordinateur ou mon smartphone avaient été hackés, on m’aurait volé ce qu’ils contenaient et ce prétendu malware aurait laissé des traces», nous a-t-il affirmé.

Plongée dans le dark web

Il soupçonne sa banque de ne pas dire toute la vérité: «Pourquoi ne me donne-t-elle pas les informations qui me concernent et qui m’aideraient à déposer plainte? Pourquoi refuse-t-elle de me dire si d’autres personnes sont touchées, si ce n’est pour cacher le fait que le problème vient d’elle? Pourquoi un hacker aurait pris la peine de vendre les données d’une seule personne – moi –, qui n’ont aucune valeur, contrairement à un paquet de données?»

Il se trouve aussi que S est très familier avec le darknet et s’y plonge pour retrouver la trace de ses données. Au gré de ses pérégrinations sur différents forums, un interlocuteur lui indique se souvenir d’une personne ayant récemment mis en vente des données bancaires suisses. Il parvient à entrer en contact avec ce vendeur – évoluant comme tout le monde sous pseudonyme –, qui affirme détenir des données sur des centaines de clients de banques suisses.

Des données… d’autres clients

Le hacker lui met à disposition un échantillon des données qu’il a proposées à la vente… le 25 janvier. Il s’agit bien de données suisses, concernant plusieurs clients, provenant de divers établissements. Des copies de cartes bancaires, des relevés de compte ou des ordres de virement. Mais aucune trace des données de S à la BCGE.

S est donc vraisemblablement tombé sur un autre stock de données bancaires volées. Si les siennes ne sont plus en vente sur le darknet, c’est peut-être parce que quelqu’un les a achetées. Toujours persuadé qu’on lui cache des choses, l’homme a en tout cas décidé de fermer son compte à la BCGE.

■