Aujourd'hui, nous décryptons un arrêt de justice important qui redéfinit la responsabilité des entreprises face au SIM swapping. Une arnaque à 17000 euros vient en effet de condamner conjointement un opérateur télécom et une grande banque, rapporte Le Monde.
Légèreté dans la gestion des identités
Et pour bien comprendre cette affaire, il faut d'abord s'attaquer à la défaillance des contrôles d'identité chez les opérateurs.
D'abord il faut savoir que les attaques de SIM swapping consistent à détourner le numéro de téléphone d'une victime vers une nouvelle carte SIM contrôlée par des pirates.
Et dans cette affaire, l'opérateur Free Mobile a transféré la ligne d'une cliente sans vérifier l'identité du demandeur.
En clair, lorsqu'un opérateur simplifie à l'excès ses parcours client, il détruit la chaîne de confiance. Et donc la justice française a donc tranché de manière très ferme. Pour elle, cette légèreté dans la gestion des identités constitue une faute lourde qui engage directement la responsabilité de l'opérateur.
Quatre virements frauduleux ont été validés
Le second point concerne dans cette affaire le rôle des banques. Prévenue dès le lendemain du piratage, la banque BNP Paribas n'a pas bloqué les accès bancaires.
Résultat, quatre virements frauduleux ont été validés dans la foulée. La banque s'est retranchée derrière l'usage d'une clé digitale pour rejeter la faute sur la cliente.
Mais attention, une authentification forte ne sert à rien si les équipes ignorent les alertes.
Pour les décideurs en entreprise, la leçon a retenir de cette affaire est que la conformité technique ne protège pas contre la lenteur des procédures internes. En clair, un signal d'alerte négligé détruit l'efficacité de vos outils de cybersécurité.
Coresponsabilité légale entre télécoms et banques
Pour finir, il faut donc constater l'émergence d'une coresponsabilité légale entre télécoms et banques.
Le tribunal judiciaire de Paris a condamné la banque à indemniser les victimes, tout en ordonnant à Free d'en assumer la moitié.
Cet arrêt de justice est donc un précédent juridique pour tout l'écosystème numérique.
Jusqu'alors, le risque financier pesait quasi exclusivement sur le secteur bancaire. Désormais, chaque intermédiaire de la chaîne d'identification peut être financièrement sanctionné en cas de faille de procédure.
Le ZD Tech est sur toutes les plateformes de podcast ! Abonnez-vous !
Lire la suite
