Ministère de la Sécurité Publique : La société VNG a exposé plus de 163 millions de comptes clients

L'information selon laquelle la société VNG a divulgué plus de 163 millions de comptes clients a été clairement indiquée par le ministère de la Sécurité publique dans un rapport évaluant l'état actuel des relations sociales liées à la protection des données personnelles, qui fait partie du projet de proposition visant à élaborer la loi sur la protection des données personnelles.

Le ministère de la Sécurité publique a constaté que la divulgation de données personnelles est courante dans le cyberespace. Les utilisateurs ne sont pas sensibilisés à la protection de leurs données personnelles, à leur publication publique ou à leur exposition lors de leur transfert, stockage ou échange à des fins commerciales, ou en raison de mesures de protection inadéquates conduisant à leur appropriation et à leur publication publique.

Le ministère de la Sécurité publique a énuméré quelques cas typiques dans le rapport d'évaluation : « La société VNG a exposé plus de 163 millions de comptes clients ; Mobile World et la société Dien May Xanh ont exposé plus de 5 millions d'e-mails et des dizaines de milliers d'informations de cartes de paiement telles que Visa et cartes de crédit de clients ; des pirates informatiques ont attaqué le système serveur de Vietnam Airlines, publiant sur Internet 411 000 comptes clients des membres du programme Golden Lotus ».

Zing MP3 et Zalo sont deux produits technologiques de VNG. (Photo : VietNamnet)

Le ministère de la Sécurité publique a également évoqué la situation de fuite d'informations sur les clients vers des sociétés de courtage de services de taxi vietnamiennes pour solliciter des clients via des messages SMS ; les données des clients de la société FPT étant publiées publiquement en ligne.

Selon le ministère de la Sécurité publique, l'achat et la vente de données personnelles sont aujourd'hui répandus et publics, qu'il s'agisse de données brutes ou de données personnelles traitées. De nombreux actes ne sont pas traités faute de réglementation légale.

Les données brutes comprennent des listes de fonctionnaires et de contacts internes des ministères et des groupes économiques (Industrie et Commerce, Finances, Transports, Science et Technologie, Agriculture et Développement Rural, Commerce, Département Général des Impôts, Groupe Charbon, etc.) ; des clients d'électricité à l'échelle nationale ; des informations sur les abonnés au téléphone et à Internet des opérateurs de réseau ; des informations sur les clients empruntant et épargnant dans les banques ; des titres ; des assurances, etc.

Les données personnelles traitées sont identifiées par le Ministère de la Sécurité Publique comme des informations détaillées sur les individus, les organisations et les entreprises, telles que : nom complet, date de naissance, numéro d'identification, adresse, numéro de téléphone, numéro de compte bancaire (y compris le solde), proches, poste, poste, etc.

En analysant plus en détail cette situation, le ministère de la Sécurité publique a déclaré que les entreprises et les sociétés de services collectent les données personnelles des clients, permettant à des tiers d'accéder aux informations sur les données personnelles mais sans exigences ni réglementations strictes, permettant à des tiers de transférer et d'échanger avec d'autres partenaires.

Les entreprises collectent de manière proactive les informations personnelles des clients, constituent des entrepôts de données personnelles, analysent et traitent ces données pour mener des affaires et des échanges commerciaux.

Le commerce de données personnelles est mené de manière systématique et organisée, avec un engagement de « garantie » et la possibilité de mettre à jour et d'extraire les données selon la demande de l'acheteur. De nombreuses données sont vendues publiquement, pendant longtemps et en grande quantité sur le cyberespace. L'achat et la vente s'effectuent via des sites web, des comptes, des pages, des groupes sur les réseaux sociaux, des forums de hackers… », indique clairement le rapport du ministère de la Sécurité publique.

Dans le rapport d’évaluation, le ministère de la Sécurité publique a également mentionné des méthodes et des astuces pour collecter illégalement des données personnelles.

Plus précisément, le ministère de la Sécurité publique a déclaré que les individus créeraient ou exploiteraient des sites web au contenu attrayant pour attirer les utilisateurs. Lorsque ces derniers y accéderaient, ils installeraient discrètement des codes malveillants sur les ordinateurs et les appareils intelligents, à leur insu, afin de collecter des informations.

Par exemple, les victimes intègrent des codes malveillants à des pages de jeux en ligne, à des sites web au contenu obscène, ou créent de fausses pages de connexion (Facebook, e-mail, banque). Ces pages sont envoyées par e-mail à la victime et présentent la même interface que celles des fournisseurs de services. Si la victime n'est pas vigilante et se connecte sur ce site web, les informations seront transmises au pirate plutôt qu'aux fournisseurs de services, comme elle le pense.

Une autre méthode mentionnée par le ministère de la Sécurité publique est la collecte illégale de données personnelles via des logiciels gratuits. Ainsi, certains logiciels gratuits, notamment d'origine inconnue ou piratés, sont utilisés pour installer des logiciels malveillants. En les téléchargeant et en les installant, les utilisateurs installent accidentellement des logiciels malveillants sur leurs appareils.

« Et ces codes malveillants collecteront silencieusement les données personnelles des utilisateurs. Par exemple : des programmes de crack et de patch de logiciels ; certains faux logiciels antivirus tels qu'AntivirusGold, Antivirus PC 2009, AntiSpyware Shield Pro, DoctorTrojan... », a informé le ministère de la Sécurité publique.

Les attaques via des appareils connectés sont également utilisées par les criminels pour collecter illégalement des données personnelles. Le ministère de la Sécurité publique considère qu'il s'agit d'une nouvelle tactique. Les criminels ciblent souvent les appareils connectés à Internet, tels que les routeurs Wi-Fi, les caméras de sécurité, les smartphones, etc.

En effectuant des analyses pour détecter et exploiter les vulnérabilités de sécurité courantes sur ces appareils, telles que l'utilisation de comptes et de mots de passe par défaut du fabricant, la non-mise à jour régulière des correctifs, etc., les sujets installeront du code malveillant pour surveiller, collecter des données, menacer ou faire chanter les utilisateurs.

Anglais

Source