DPIA

L'attente est terminée
Ailance™ DPIA est là !

Top 5 des amendes en juin 2025 : deux millions d'amendes pour des attaques de "credential stuffing".

G:lement deux amendes ont été infligées en juin 2025 pour des attaques de credential stuffing.
Catégories :

L'amende la plus élevée a été infligée à Vodafone en juin 2025 en Allemagne. Fait marquant : pas moins de deux amendes de plusieurs millions ont été infligées en Espagne et en Grande-Bretagne pour des violations de données au cours desquelles les pirates ont obtenu un accès non autorisé aux données via le credential stuffing. Et en Irlande, le ministère des Affaires sociales a été sanctionné par une amende relativement élevée. Contrairement à d'autres pays, il est possible en Irlande d'infliger des amendes aux autorités et leur montant n'est pas plafonné.

Vodafone : 45 millions d'euros (Allemagne)

Le commissaire fédéral à la protection des données et à la liberté d'information (BfDI) a infligé deux amendes d'un montant total de 45 millions d'euros à Vodafone GmbH.

Une amende de 15 millions d'euros a été infligée parce que l'opérateur de téléphonie mobile Vodafone n'a pas suffisamment contrôlé et surveillé ses agences partenaires qui concluent des contrats avec les clients pour le compte de l'entreprise. Cela a conduit à des cas de fraude dans lesquels des clients ont été lésés par des contrats fictifs ou des modifications de contrats.

De plus, une amende de 30 millions d'euros a été infligée pour des défauts de sécurité dans le processus d'authentification lors de l'utilisation combinée du portail en ligne "MonVodafone" et de la hotline de Vodafone. Ces défauts ont permis à des tiers non autorisés d'accéder aux profils eSIM des clients.

Vodafone a réagi à ces accusations en améliorant ses processus et systèmes et en les remplaçant parfois complètement. Les risques devraient ainsi être minimisés à l'avenir. En outre, les processus de sélection et de contrôle des agences partenaires ont été revus. Enfin, il y a eu une séparation des partenaires chez lesquels des cas de fraude ont été constatés. La BfDI prévoit de vérifier l'efficacité de ces mesures dans le cadre d'un contrôle de suivi.

Conseil de lecture : Le BfDI inflige à Vodafone des amendes d'un montant de 45 millions d'euros

Source : Communiqué de presse "Le BfDI inflige des amendes à Vodafone" du 3 juin 2025

Carrefour : 3,2 millions d'euros (Espagne)

L'Agencia Española de Protección de Datos (AEPD), l'autorité espagnole de protection des données, a infligé à la chaîne de supermarchés Carrefour Espagne une amende totale de 3,2 millions d'euros ont été imposées. Les raisons en sont les suivantes plusieurs violations de la protection des données liées à cinq violations de données consécutives au cours de la période allant d'octobre 2022 à septembre 2023. Les incidents de sécurité concernaient un total de 118 895 comptes clientsLes pirates utilisent des techniques d'attaque par déni de service. Le bourrage de crâne ont obtenu un accès non autorisé. Les noms, adresses, dates de naissance, données d'identification et coordonnées, entre autres, ont été compromis.

L'AEPD constate que Carrefour mesures techniques et organisationnelles insuffisantes conformément à l'article 32 du RGPD pour prévenir de telles attaques. En outre, l'entreprise a agi contre le Principe d'intégrité et de confidentialité selon l'article 5, paragraphe 1, point f), du RGPD et, en partie, à la directive Obligation d'informer les personnes concernées conformément à l'article 34 du RGPD.

Carrefour avait certes lui-même signalé les cinq incidents à l'AEPD. Mais l'autorité de surveillance reproche à l'entreprise d'avoir réagi trop tard et de manière incomplèteLa Commission a également fait preuve d'une grande prudence en ce qui concerne l'information des personnes concernées par les trois premiers incidents de sécurité.

La répartition concrète de l'amende est la suivante

  • 2 millions d'euros pour violation de l'article 5, paragraphe 1, point f), du RGPD (intégrité et confidentialité)
  • 1 million d'euros pour infraction à l'article 32 du RGPD (sécurité des données)
  • 200.000 euros pour violation de l'article 34 du RGPD (notification aux personnes concernées)

Carrefour avait reconnu en partie sa responsabilité dans le défaut de notification, mais avait contesté les autres accusations. L'AEPD n'a cependant pas retenu ces objections et a constaté que les mesures de sécurité mises en œuvre ni suffisants ni opportuns étaient

Source : Amende de l'AEPD contre Carrefour

23andMe : 2,31 millions de livres (Royaume-Uni)

L'autorité britannique de protection des données ICO (Information Commissioner's Office) a infligé une amende de 2,31 millions de livres (environ 2,7 millions d'euros) à l'entreprise américaine de diagnostic génétique 23andMe. Motif : des données sensibles de 155.592 utilisateurs britanniques ont été compromises lors d'une cyberattaque de grande envergure en 2023. L'attaque a exploité des techniques dites de "credential stuffing", dans lesquelles des données d'accès volées lors de fuites de données antérieures non apparentées ont été utilisées pour obtenir un accès non autorisé à des comptes d'utilisateurs. Les informations personnelles telles que les noms, les années de naissance, les lieux de résidence, les photos de profil, l'appartenance ethnique, les arbres généalogiques et les rapports de santé ont ainsi été divulguées.

L'OIC a constaté que 23andMe n'avait pas mis en œuvre de mesures de sécurité adéquates pour empêcher de telles attaques. Il manquait notamment des étapes de vérification supplémentaires pour l'accès et le téléchargement des données brutes des informations génétiques. De plus, l'entreprise a été lente à réagir aux signaux d'alerte : bien que l'attaque ait commencé en avril 2023, une enquête complète n'a été lancée qu'en octobre 2023, après qu'un employé a découvert que des données volées étaient mises en vente sur Reddit.

L'enquête a été menée conjointement avec le Commissaire à la protection de la vie privée du Canada. Elle souligne l'importance de la coopération internationale en matière de protection des données. L'OIC a souligné que la protection des données personnelles sensibles, en particulier les informations génétiques, devait être une priorité absolue et que les entreprises étaient tenues de mettre en place des mesures de sécurité appropriées pour protéger ces données.

Source : Communiqué de presse de l'Information Commissioner's Office du 17 juin 2025

Yliopiston Apteekki : 1,1 million d'euros (Finlande)

L'autorité finlandaise de protection des données Tietosuojavaltuutetun toimisto a infligé une amende de 1,1 million d'euros à la chaîne de pharmacies Yliopiston Apteekki. Entre mai 2018 et septembre 2022, l'entreprise a utilisé des technologies de suivi telles que des cookies et des outils d'analyse dans sa boutique en ligne, qui ont permis de transmettre des données clients sensibles à des fournisseurs tiers tels que Google et Meta. Ces données comprenaient des informations sur l'ajout de médicaments au panier, le clic sur le bouton de commande, ainsi que des adresses IP et d'autres caractéristiques d'identification. En particulier, si les clients étaient connectés à leurs comptes Google ou Facebook pendant leur visite dans la boutique en ligne, ces fournisseurs tiers pouvaient identifier directement les utilisateurs.

L'enquête a été lancée après qu'un doctorant de l'université de Turku a signalé des lacunes dans la protection des données dans les pharmacies en ligne finlandaises. Yliopiston Apteekki a cessé d'utiliser les technologies Google et de méta-tracking en septembre 2022, mais a l'intention de faire appel de la décision de l'autorité de protection des données devant le tribunal administratif.

L'autorité de protection des données a souligné le caractère particulièrement sensible des données de santé et la nécessité de mettre en place des mesures de protection adéquates pour garantir la confiance des clients dans les pharmacies en ligne.

Source : Communiqué de presse de l'autorité finlandaise de protection des données Tietosuojavaltuutetun toimisto du 4 juin 2025

Department of Social Protection : 550 000 euros (Irlande)

Le 12 juin 2025, la Commission irlandaise de protection des données (Data Protection Commission, DPC) a clôturé son enquête sur l'utilisation par le ministère de la Protection sociale (Department of Social Protection, DSP) de la technologie de reconnaissance faciale dans le cadre du processus d'enregistrement SAFE 2 pour la Public Services Card (PSC). L'enquête, qui a débuté en juillet 2021, s'est concentrée sur le traitement des données biométriques faciales et l'utilisation des technologies correspondantes au cours du processus d'enregistrement.

La DPC a constaté que le DSP avait enfreint plusieurs dispositions du règlement général sur la protection des données (RGPD) :

  • Articles 5(1)(a), 6(1) et 9(1)Le DSP n'a pas pu démontrer l'existence d'une base juridique valable pour la collecte de données biométriques dans le cadre de l'enregistrement SAFE 2.ie
  • Article 5(1)(e)En raison de l'absence de fondement juridique, le stockage de ces données était également illégal.
  • Articles 13(1)(c) et 13(2)(a): Les obligations d'information vis-à-vis des personnes concernées n'ont pas été suffisamment respectées.
  • Article 35(7)(b) et (c)L'analyse d'impact sur la protection des données réalisée était incomplète.

En conséquence, la DPC a infligé une amende totale de 550 000 euros au DSP et a ordonné de cesser le traitement des données biométriques dans le cadre de l'enregistrement SAFE 2 dans un délai de neuf mois, à moins qu'une base juridique valable ne puisse être prouvée.

La DPC a souligné que ses constatations ne se prononçaient pas sur le principe de l'introduction de l'enregistrement SAFE 2, mais portaient uniquement sur le respect des exigences légales en matière de protection des données.

Source : Communiqué de presse de la DPC du 12 juin 2025

Les tags :
Partager ce post :
fr_FRFrench