Comment les courtiers en données affectent-ils l'écosystème des menaces ?

Dans le monde interconnecté d’aujourd’hui, les données sont considérées comme le carburant des entreprises, et les courtiers en données sont les principaux vendeurs d’informations personnelles sur les clients, fournissant diverses entités à échelle mondiale.

Les courtiers en données sont des entreprises qui collectent et agrègent des informations personnelles sur les clients à partir d’un large éventail de sources. Ces entreprises regroupent ces informations de manière pertinente, par exemple en créant un profil pour chaque utilisateur, et les vendent à des entités intéressées, telles que des organisations commerciales et même des administrations publiques.

Lorsqu’on parle de la confidentialité des données et de la sécurité en ligne, surtout dans le cyberespace, on s’intéresse surtout aux géants de la technologie tels que Facebook, X et Google, ainsi qu’à la quantité d’informations personnelles qu’ils récoltent et stockent sur leurs utilisateurs. Cependant, les gens accordent peu d’attention aux entreprises dont le seul but est de collecter et de vendre les informations personnelles des individus. Ces entreprises sont connues sous le nom de courtiers en données.

Comment les courtiers en données obtiennent-ils vos informations personnelles ?

Les courtiers en données collectent leurs données à partir de diverses sources, en ligne et hors ligne, telles que :

• Historique de navigation : toute notre activité en ligne est enregistrée d’une manière ou d’une autre. Les courtiers en données collectent les informations des utilisateurs en ligne lorsqu’ils utilisent les réseaux sociaux, effectuent des recherches en ligne à l’aide de leurs moteurs de recherche préférés, consultent leurs e-mails ou réalisent des achats en ligne, par exemple sur Amazon. Il existe différents mécanismes permettant de suivre les utilisateurs en ligne sur Internet. Les plus connus sont les empreintes numériques, les cookies et les balises d’entité. Par exemple, les courtiers en données peuvent savoir quand vous recherchez des produits spécifiques et vous proposer ensuite des publicités pour des articles similaires sur différents sites web.
• Registres publics : sources publiques telles que les registres d’état civil, les registres fonciers, les casiers judiciaires, les bases de données des tribunaux et des électeurs et les registres des véhicules, en fonction des pays. Par exemple, les relevés d’impôts fonciers révèlent la valeur de votre maison, son emplacement et, éventuellement, votre situation financière.
• Sources commerciales : telles que l’historique d’achat des consommateurs. Par exemple, lorsque vous achetez un produit sur Amazon, des informations telles que votre mode de paiement (carte bancaire, PayPal ou carte-cadeau), le nom et les caractéristiques du produit, ainsi que votre historique des achats peuvent contribuer à créer un profil détaillé de vos intérêts et de vos habitudes en tant qu’utilisateur. Les programmes de fidélité des détaillants comme les supermarchés et les pharmacies sont des sources particulièrement précieuses qui révèlent des habitudes d’achat et des informations relatives à la santé.
• Consentement de l’utilisateur : de nombreux programmes téléchargés sur l’Internet, tels que les outils de productivité, comportent un accord que les utilisateurs doivent accepter avant d’installer le programme sur leur PC ou leur smartphone. Ces accords contiennent généralement l’autorisation d’utiliser les données des utilisateurs et de les transmettre à des tiers. Cela crée un mécanisme légalement protégé pour la collecte et la diffusion d’informations personnelles tout en garantissant la conformité technique aux réglementations en matière de protection de la vie privée, telles que le RGPD.

Qui achète des informations vous concernant ?

Les courtiers en données vendent leurs données à un large éventail de clients, tels que :

• Sociétés de marketing et de publicité : cela leur permet de cibler les internautes avec des publicités personnalisées en fonction de leurs habitudes de navigation, de leurs intérêts et de leurs données démographiques. Par exemple, les constructeurs automobiles peuvent acheter des données sur les consommateurs qui ont récemment recherché des informations sur les véhicules ou visité des sites web consacrés à l’automobile.
• Les institutions financières et les compagnies d’assurance achètent des données sur les clients pour diverses raisons. Cela peut inclure l’évaluation de l’éligibilité des clients à un prêt, l’analyse des risques et la détection des fraudes. Les compagnies d’assurance peuvent examiner les données relatives au mode de vie des clients pour ajuster les primes ou évaluer la validité des demandes d’indemnisation sans interroger directement les assurés.
• Sites de recherche de personnes : ces sites collectent des informations personnelles sur les utilisateurs et créent un profil complet pour chacun d’entre eux, avec notamment leur adresse postale, leur e-mail et leur numéro de téléphone. Ils vendent leurs services moyennant des frais, qui peuvent ensuite être utilisés par d’autres parties à diverses fins, allant de la vérification des antécédents à la vérification d’identité.  
• Administrations publiques : ces entités achètent des données de clients pour différentes raisons, afin de contourner les lois locales en matière de confidentialité des données et de lutter contre le crime et les activités terroristes. Par exemple, les autorités peuvent acquérir des données de localisation sans avoir besoin de mandat, en les achetant auprès de courtiers commerciaux. 
• Cybercriminels : ils achètent des données personnelles pour déployer des attaques d’ingénierie sociale ciblées telles que le spear phishing et le smishing. Grâce à des profils détaillés, les pirates peuvent créer des messages convaincants en intégrant des détails personnels spécifiques. Cette tactique augmente considérablement les taux de réussite par rapport aux campagnes génériques.

Quel rôle jouent les courtiers en données dans l’écosystème des menaces ?

De nos jours, les courtiers en données jouent un rôle important dans l’écosystème des cybermenaces. Par exemple, ils créent, amplifient et facilitent l’exécution de divers risques de sécurité en collectant et en distribuant de grandes quantités de données concernant des individus ou des organisations. D’une certaine façon, les opérations des courtiers en données alimentent les menaces de cybersécurité de manière subtile :

Risque de piratage informatique

Les courtiers en données collectent une grande quantité d’informations sensibles sur les individus. Par exemple, le dossier personnel d’un courtier en données peut contenir les informations suivantes et d’autres informations sur chaque individu :

• Nom complet
• Adresse postale
• E-mail
• Numéro de téléphone
• Lieu de travail
• État matrimonial
• Nombre d'enfants
• Informations sur le niveau d’études

Un seul dossier dans une base de données de courtier en données contient non seulement ces informations, mais aussi des milliers d’attributs liés à chaque utilisateur, comme l’historique des achats, les activités en ligne et les pseudonymes utilisés en ligne. La centralisation de toutes ces informations fait des systèmes des courtiers en données une cible lucrative pour les acteurs malveillants tels que les hackers et les cybercriminels soutenus par des États-nations.

Faciliter la reconnaissance

Les acteurs malveillants, tels que les hackers et les pirates persistants avancés, utilisent les services des courtiers en données pour collecter des informations sur leurs cibles potentielles. Par exemple, les hackers peuvent exploiter les informations obtenues par les courtiers en données sur une personne spécifique pour créer des e-mails de phishing convaincants. Dans ce domaine, les courtiers en données jouent un rôle clé en facilitant l’exécution de différents crimes nécessitant des informations personnelles. Lors de l’attaque de SolarWinds, les hackers ont utilisé les informations fournies par les courtiers en données pour identifier le personnel clé au sein des organisations ciblées et les attaquer par spear-phishing.

Enrichissement des données volées

Lors d’une violation de données, les hackers peuvent utiliser les bases de données des courtiers en données pour enrichir les données volées avec d’autres informations. Par exemple, la violation d’un compte Zoom contenant un nom d’utilisateur de type adresse e-mail peut permettre aux pirates de croiser ces données avec d’autres informations présentes dans le dossier de l’utilisateur cible chez un courtier en données, afin de reconstituer le profil complet de l’utilisateur. Ces profils peuvent ensuite être vendus au prix fort aux parties intéressées. Les cybercriminels combinent fréquemment des données partielles issues de différentes violations avec les informations des courtiers en données pour créer des profils complets, qui peuvent se vendre à des prix élevés sur les marchés du dark web de Tor. 

Les courtiers en données collectent et vendent un grand nombre d’informations personnelles provenant de diverses sources, notamment l’historique de navigation, les archives publiques, les bases de données commerciales et les accords de consentement de l’utilisateur. Parmi leurs clients figurent des spécialistes du marketing, des institutions financières, des sites de recherche, des administrations publiques et des cybercriminels. Ces courtiers représentent des risques importants pour la sécurité en centralisant des données sensibles en un seul endroit, ce qui permet aux pirates d’effectuer facilement des reconnaissances et d’enrichir les informations dérobées lors de violations de données. D’une certaine façon, leurs opérations alimentent les menaces de cybersécurité de manière subtile.

Vous pouvez compter sur Barracuda

Environ 20 % des organisations subissent chaque mois au moins une tentative ou un incident de piratage de compte. Ces attaques exploitent souvent des données personnelles volées lors d’attaques de phishing ou d’autres violations de données. Barracuda Email Protection vous fournit une protection complète contre tous les types de menaces par e-mail et vous évite d’avoir recours à différentes solutions de protection des données et des e-mails.