Une date de naissance peut sembler anodine lorsqu’elle est demandée lors d’une inscription en ligne, mais les professionnels de la cybersécurité avertissent qu’elle peut devenir précieuse lorsqu’elle est combinée à d’autres informations personnelles. Les criminels peuvent l’utiliser pour faire paraître légitimes des appels, des courriels ou des tentatives frauduleuses de récupération de compte.
Les dates de naissance sont souvent recueillies par les détaillants, les programmes de fidélité, les newsletters et les concours en ligne. Elles peuvent également être exposées lors de violations de données, puis vendues ou combinées avec des informations provenant d’autres sources. Lors d’une violation récente impliquant le détaillant en ligne Asos, les dates de naissance des clients figuraient parmi les informations dérobées.
Jake Moore, conseiller auprès de l’entreprise de cybersécurité ESET, affirme qu’une date de naissance seule n’a pas une valeur particulièrement importante pour les criminels. Combinée à des noms, des numéros de téléphone et d’autres informations, elle peut toutefois les aider à usurper l’identité des victimes ou à commettre une fraude à l’identité.
Alexandre François, qui enquête sur les escroqueries pour l’entreprise de renseignement WhoisXML API, a constaté que huit des 14 détaillants qu’il a récemment étudiés demandaient la date de naissance de leurs clients lors de l’inscription. Selon lui, les détaillants peuvent conserver ce champ parce que l’âge d’un client peut être utile pour le marketing et le ciblage.
Les informations volées peuvent être utilisées pour rendre les messages d’hameçonnage plus crédibles ou pour convaincre les services d’assistance d’une entreprise qu’un criminel est le véritable titulaire du compte. Serpil Hall, experte en sécurité chez Datos Insights, affirme qu’une violation chez un détaillant peut fournir un nom, une date de naissance, une adresse électronique et une adresse physique. D’autres données divulguées et des informations accessibles au public, telles que les numéros de téléphone, les profils sociaux, les informations professionnelles et les proches, peuvent ensuite être ajoutées afin de créer un profil d’identité plus complet.
Les personnes doivent se montrer prudentes lorsqu’elles sont contactées de manière inattendue, même si l’appelant ou l’expéditeur connaît des informations personnelles apparemment convaincantes. Moore affirme que l’utilisation d’une autre date d’anniversaire sur les sites à faible risque peut limiter l’exposition, tandis qu’il est préférable de laisser vides les champs personnels non nécessaires. Il suggère également d’utiliser une adresse électronique distincte pour les achats en ligne afin de pouvoir l’abandonner si elle est impliquée dans une violation de données.
François affirme que les détaillants ont généralement besoin des informations de carte de paiement et d’une adresse de livraison. Une vérification de l’âge peut néanmoins être requise pour les achats portant sur des produits soumis à des restrictions, comme les couteaux.
Il conseille de réserver une date de naissance réelle et un nom réel aux organisations qui vérifient l’identité à l’aide de documents officiels, notamment les banques, les prêteurs, les autorités fiscales, les organismes délivrant les permis de conduire et les passeports, les contrôles du droit au travail et les avis de police. Pour les comptes de vente au détail ordinaires, il estime que laisser le champ de la date d’anniversaire vide est la meilleure option. Si un site rend cela impossible, utiliser la même date de remplacement chez les différents détaillants peut faciliter sa mémorisation sans divulguer la date réelle.
Sources: The Guardian Technology.