Colmater la fuite des données de crédit

Le Centre vietnamien de réponse aux urgences cybernétiques (VNCERT) vient d'annoncer des signes d'attaques et d'intrusions visant à voler des données personnelles au Centre national d'information sur le crédit (CIC). Cet incident a suscité une attention particulière auprès du public, car son impact pourrait atteindre des dizaines de millions de personnes. Face à ces inquiétudes, les journalistes du journal SGGP ont interviewé Ngo Minh Hieu, expert en cybersécurité, afin de clarifier les risques et les mesures de prévention.

Báo Sài Gòn Giải phóng•15/09/2025

Journaliste : Monsieur, avec la fuite de données chez CIC, quel est le plus grand risque auquel les gens pourraient être confrontés ?

M. NGO MINH HIEU : Bien que l’incident chez CIC soit grave et qu’il y ait des signes de fuite de données personnelles, les informations telles que les mots de passe, les codes CPC et CPV, les numéros de carte de crédit et l’historique des transactions bancaires ne font pas partie des données que CIC collecte ou affiche actuellement. Par conséquent, les transactions et les informations de carte de crédit des utilisateurs ne seront pas affectées par cet incident.

Aucune banque n'a officiellement demandé à ses clients de bloquer leurs comptes ou de modifier leurs mots de passe ou codes de sécurité par simple crainte de fuites de données. Ces demandes ne sont que des rumeurs propagées par des individus mal intentionnés se faisant passer pour des banques. Les escroqueries signalées après cet incident, selon la police de Hô Chi Minh-Ville, consistent à usurper l'identité de banques, de la CIC et d'organismes d'État pour appeler, envoyer des SMS et des courriels demandant des informations personnelles, des notifications de « dette irrécouvrable », de « blocage de compte » ou incitant les utilisateurs à fournir leurs mots de passe, leurs codes OTP ou à cliquer sur des liens malveillants.

De plus, il existe des arnaques telles que « l’annulation de dettes CIC », « l’augmentation de la limite de carte », la publicité pour des prêts rapides, la réduction de dettes de crédit… ciblant souvent les étudiants et les travailleurs. Ou encore, l’usurpation d’identité : on se fait passer pour des proches, des responsables ou des collègues afin de gagner la confiance et demander des transferts d’argent urgents. Il y a même des cas d’usurpation d’identité : on se fait passer pour la police, le procureur ou un juge, on accuse la victime de « blanchiment d’argent » et on exige ensuite le transfert de fonds vers un « compte sécurisé ».

Comment évaluez-vous le groupe de pirates informatiques suite à cet incident ? S’agit-il d’individus ou d’organisations professionnelles ?

Le 8 septembre 2025, des experts en cyberfraude ont découvert que le groupe ShinyHunters prétendait avoir piraté CIC et dérobé plus de 160 millions d'enregistrements de données. Ces données n'ayant pas été formellement authentifiées comme provenant de CIC, nous avons décidé de ne pas les publier ni les diffuser. Peu après, elles ont été mises en vente sur des forums de hackers.

Il s'agit de l'une des plus importantes violations de données jamais enregistrées au Vietnam, touchant une grande partie de la population. ShinyHunters est un groupe de pirates informatiques notoire, apparu en 2020 et responsable de plusieurs violations de données à grande échelle. Ce groupe opère par extorsion après avoir volé des données. Ils exigent une rançon et, si la victime ne paie pas, ils vendent ou diffusent les données sur le dark web.

En peu de temps, ShinyHunters est devenu l'un des groupes les plus médiatisés de la communauté de la cybersécurité suite à une série d'attaques massives et répétées. Ils ont même géré leurs propres forums de vente de données (semblables à BreachForums) pour commercialiser des informations personnelles.

ShinyHunters a publiquement revendiqué la responsabilité de l'attaque et a vendu les données sous son nom habituel, en fournissant des échantillons aux acheteurs. Le groupe a choisi CIC en raison de son immense base de données et du potentiel de profit lié à leur vente.

Monsieur, quelles mesures urgentes doivent être prises suite à cet incident de fuite de données et quelles leçons peuvent être appliquées au Vietnam ?

Il est impératif de faire preuve d'une vigilance extrême face aux appels et messages usurpant l'identité de banques, de CIC ou d'autorités. Ne communiquez jamais vos informations de carte bancaire, leur date d'expiration, votre mot de passe ni votre code OTP. Ne cliquez sur aucun lien dans les messages, courriels, applications Zalo, etc., surtout s'ils contiennent des pièces jointes suspectes. Méfiez-vous des publicités pour « l'annulation de dettes CIC » ou les « prêts rapides et sûrs ». Consultez régulièrement votre historique de transactions (en cas d'anomalie, contactez immédiatement le standard de votre banque ou rendez-vous à l'agence la plus proche).

Les unités concernées doivent prendre d'urgence les mesures suivantes : isoler et corriger les vulnérabilités, remplacer les composants obsolètes ; examiner les journaux d'activité, surveiller les transactions inhabituelles ; envisager de fournir des services de surveillance du crédit aux particuliers ; et se coordonner avec les établissements de crédit pour renforcer la vérification.

La leçon à retenir est que chaque violation de données a des conséquences à long terme. Il est essentiel de sensibiliser le public ; parallèlement, les organisations doivent renforcer leur sécurité, mettre en œuvre l’authentification multifacteurs, gérer rigoureusement les droits d’accès et exploiter des systèmes cloud sécurisés.

Comment (0)