CIF CGP - usurpation d'identité
Vincent Boisseau • 21 décembre 2023
Usurpation d'identité - cela n'arrive pas toujours qu'aux autres...
Un de nos clients CIF CGP vient de constater une usurpation de son identité. Des documents ont été signés avec son nom et sa signature. Un autre a vu un site internet se créer de toutes pièces avec son nom de société !!
Les constats
L’usurpation d’identité des conseils en gestion de patrimoine (CGP) s'appuie sur plusieurs modes opératoires :
- le CIF CGP n'a pas de site internet. Les fraudeurs créent alors un site internet avec un nom approchant. Ils peuvent reprendre certains éléments d'identification : dénomination, numéro ORIAS, adresse, ...Ce site a pour objectif de donner confiance via la présence sur internet.
- les fraudeurs sont capables de récupérer les mentions réglementaires, voire même la signature pour finaliser des documents avec les clients,
- Ils peuvent aussi renvoyer vers un produit, immobilier par exemple, présenté sur un site d’annonces en ligne. Ils reprennent à leur compte l’identité d’un vrai cabinet en adressant des mails à son nom à leurs futures victimes.
Dans le cas présent, mon client a été contacté par une personne souhaitant vérifier l'identité d'un collaborateur du cabinet. Bien sur, ce collaborateur n'est autre que l'imposteur...à moins que la personne contactée qui menace d'aller porter plainte n'est elle-même complice ?
Que faire pour limiter les risques ?
pour les PRO:
- Déposer les noms de domaine internet du cabinet
- Créer un site internet (cela évitera que les usurpateurs en créé un avec votre raison sociale!)
- Enrichir la page ORIAS du cabinet avec le site internet (visible dans la colonne de gauche)
- Si usurpation, informer son association qui informera l'AMF et porter plainte. L'AMF placera alors le site ou les adresses mails usurpées sur la liste noire figurant sur son propre site internet ainsi que dans l’application AMF Protect Épargne.
- Sur le site internet, afficher un avertissement indiquant de l'usurpation en cours.
- Information ses clients par mail.
mais aussi (valable pour tous)
- Ne communiquez pas vos coordonnées personnelles (téléphone, mail, pièces d’identité, RIB, IBAN, justificatifs de domicile…) à des sites dont vous ne pouvez attester la fiabilité ou en remplissant des formulaires sur internet après avoir cliqué sur une bannière publicitaire
- Ne donnez pas suite à des appels téléphoniques non sollicités ;
- Ne prenez pas pour argent comptant les informations données par un interlocuteur au téléphone, qui n’est pas forcément celui que vous croyez ;
- Ne cédez pas à l’urgence ou aux pressions de votre interlocuteur, prenez le temps de la réflexion ;
- Méfiez-vous des promesses de gains rapides sans contreparties ; il n’y a pas de rendement élevé sans risque élevé
- Soyez attentif à l’identité de vos interlocuteurs : lorsque vous échangez par téléphone, en ligne, sur les réseaux sociaux ou même avec une personne qui se présente à votre porte, soyez vigilant, car les usurpateurs savent très bien se faire passer pour des organismes qui inspirent confiance. Certains peuvent même présenter de faux documents très convaincants pour collecter vos données personnelles. (attention donc aux mails venant de vos partenaires, proches,
- Annotez les copies de vos pièces d’identité que vous transmettez : indiquez clairement la date, le motif de l’envoi et le destinataire. Cela permettra d’éviter que ces copies soient utilisées à d’autres fins. Les documents que vous devez numériser peuvent être dotés d’un filigrane pour les protéger, notamment via le service filigrane.beta.gouv.fr. En règle générale, ne communiquez jamais ces copies à des personnes ou des organismes que vous ne pouvez pas authentifier à 100 %.
- Ne communiquez que le minimum d’informations : lorsque vous devez vous enregistrer sur un site ou communiquer des données, limitez-vous au strict minimum. Si possible, remplacez votre nom et votre prénom par un pseudo.
- Conservez vos documents personnels et sensibles en lieu sûr : cette précaution vous permettra d’éviter qu’ils ne soient volés par une personne malveillante ou tout simplement que vous les perdiez.
- Ne jetez pas de document sensible sans l’avoir détruit au préalable : tout document qui contient des données personnelles vous concernant doit être détruit. Dans le cas contraire, ils peuvent être récupérés et utilisés.
- Soyez attentif aux paramètres de confidentialité : les paramètres de confidentialité sont censés protéger vos données personnelles et vos publications sur les réseaux sociaux. Vérifiez-les pour éviter toute visibilité publique.
- Contrôlez régulièrement vos relevés de compte bancaire : cette précaution est indispensable pour identifier rapidement un mouvement suspect. Quoi qu’il en soit, essayez de suivre attentivement vos dépenses pour mieux déceler les anomalies.
- Variez vos mots de passe : évitez d’utiliser systématiquement le même mot de passe, même si cela est difficile. Choisissez des mots de passe complexes et variés pour que les cybercriminels ne puissent avoir accès à vos autres comptes qui partagent le même code.
- Utilisez la double authentification : lorsque les sites le permettent, optez pour la double authentification afin de bénéficier d’un meilleur niveau de sécurité.
- Mettez vos appareils, applications et logiciels régulièrement à jour : cela vous permet de corriger les failles de sécurité et de mieux sécuriser vos données personnelles.
- N’ouvrez pas les liens suspects : tout message émanant d’un expéditeur inconnu, d’une chaine de messages ou qui ne semble pas correspondre au style de la personne qui est supposée vous l’adresser doit vous alerter. Évitez d’ouvrir ces messages, d’ouvrir les pièces jointes et de cliquer sur les liens qui vous sont transmis. Bien souvent, vous risquez d’être infecté par un virus qui permettra à l’expéditeur d’accéder à vos données personnelles. un SUPER TRUC IMPORTANT: en passant votre souris sur un lien présent sur un texte, l'adresse du lien devrait s'afficher sur votre écran (chez moi en bas à gauche). TESTEZ avec celui-là qui vous amène sur www.opadeo.fr LIEN . Si le lien ne reprend pas le nom de votre expéditeur, ou a un construction complexe, fermez le mail.
- Installez un pare-feu sur votre ordinateur : sécurisez vos données en installant un pare-feu solide et un antivirus complet. Certes, cela peut avoir un coût, mais c’est le meilleur moyen de vous protéger.
- Attention au hameçonnage : cette pratique consiste à vous adresser un email qui semble tout à fait normal pour vous inviter à vérifier vos données personnelles. Votre banque, votre compagnie d’assurance, votre mutuelle santé et tout autre organisme ne vous formuleront jamais une telle demande ! Ne transmettez pas ces données et prenez contact immédiatement avec l’organisme concerné pour les en informer.
Comment créer un site internet à moindre coût ?
Plusieurs sites existent (tapez site internet gratuit sur internet):
- ionos
- wix
- etc...
Vous ne savez pas comment faire ? Nous avons quelques partenaires de confiance pour vous faire un site internet rapidement et à moindre coût (et surtout modifiable par vous).
quelques liens utiles :
- https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/usurpation-identite-que-faire
- https://www.professioncgp.com/article/les-acteurs/les-acteurs-associations-professionnelles/les-usurpations-didentite-des-cgp-en-augmentation.html
- https://www.mesquestionsdargent.fr/arnaques/lusurpation-didentite#kit-6060
- https://www.abe-infoservice.fr/alerte/perte-vol-et-transmission-de-donnees-personnelles-attention-aux-risques-dusurpation-de-votre
- https://lemagdelaconso.ouest-france.fr/dossier-818-usurpation-identite-comment-reagir.html?utm_source=pocket-newtab-fr-fr
Crédit photo : https://pxhere.com/en/photo/1017561
Depuis le jeudi 27 février, l'outil O2S d'HARVEST est bloqué suite à une cyberattaque. L'information est officielle depuis le vendredi 28 février. A ce jour , lundi 3 mars, l'outil n'est pas rétabli. A ce jour, aucun élément n'indique qu'il y a eu fuite de données. CONSTATS & ANALYSES Suite à la cyberattaque d’HARVEST, il y a des obligations CNIL à faire en tant que vous Responsable des Traitements et HARVEST sous-traitant. D'autant qu'O2S contient une quantité astronomique de Données à Caractère Personnel sur les clients : adresse, mail, téléphone, RIB, patrimoine, CNI, peut-être données médicales...bref, c'est énorme. Donc il y a effectivement des choses à faire. Voici le lien vers la CNIL qui traite des violations de données personnelles : https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles En effet notre analyse est: qu’il y a eu une violation de données du fait d’un cas cité : perte de disponibilité , d’intégrité ou de confidentialité de données personnelles, de manière accidentelle ou illicite) En revanche on ne sait pas encore s’il y a eu fuite de données, LE DISPOSITIF d'HARVEST Voici les informations reçues par un CGP, en juillet 2024, sur le dispositif HARVEST : plutôt sérieux. "Sécurité physique : Les serveurs sont hébergés dans un Datacenter Interxion dans l’UE. Le Datacenter a de nombreuses certifications : ISO 14001:2004, ISO 27001 & ISO 22301, ISO 50001:2011, OHSAS 18001, ITIL V3 ,PCI-DSS, HDS (Hébergeur Données Santé). Les infrastructures sont monitorées 24h/24 et 7h/7. Les baies hébergeant les systèmes sont fermées à clé, seul le personnel habilité a accès aux baies : Notre sous-traitant (Waycom) pour la mise à disposition et la supervision des infrastructures d’hébergement travaillant pour le compte d’Harvest (hors baies privées dédiées dont l’accès est géré uniquement par Harvest) Les membres habilités de la DSI Harvest. Les grappes de disques ainsi que les alimentations sont redondées (ainsi que tous les éléments critiques physiques du Datacenter : réseaux internet, réseaux électriques, etc…). Sécurité logique : Les données de production sont accessibles uniquement par un nombre de personnes restreint, défini en accord avec le comité des risques d’Harvest. En aucun cas nos sous-traitants ont accès aux données applicatives. L’accès est basé sur une authentification : compte / mot de passe. Les droits et habilitations sont donnés selon le profil de l’utilisateur. Les flux sont chiffrés (HTTPS). Les données des applications répliquées en continue sur un serveur de secours local et sauvegardées sur un serveur de sauvegarde distant. Les opérations effectuées sur les serveurs sont journalisées. Les serveurs sont mis à jour régulièrement et possèdent un antivirus à jour. Des tests de vulnérabilité sont effectués périodiquement et donnent lieu, si nécessaire, à des plans de remédiation. Réglementaire : Dans le cadre de la réglementation européenne RGPD, un registre des traitements a été créé, il est maintenu par le DPO (Data Protection Officer) d’Harvest. Plan de continuité (PUPA), dans ce cadre Harvest : Dispose d’une procédure de gestion et d’escalade des incidents. A mis en place un comité des risques et est accompagné par un cabinet d’audit externe Activation de la cellule de crise en cas de problème majeurRéalise des évolutions régulières sur l’infrastructure matérielle et logicielle de ses environnements pour améliorer en permanence les performances et la sécurité " QUE FAUT IL FAIRE en interne ? La violation de données et la cyberattaque ne concernent pas VOS systèmes mais ceux d'un sous-traitant. Donc pas de panique. Quand on lit les instructions CNIL, dans cette configuration, il faut documenter la violation de données en interne. QUE FAUT IL FAIRE vis à vis de la CNIL? Là l'instruction est claire : il faut notifier l’incident à la CNIL dans les 72 heures (donc aujourd'hui pour ceux qui ne l'ont pas faite). Pour ce faire, la CNIL vous accompagne : compléter le document préparatoire (aide au remplissage) : https://www.cnil.fr/sites/cnil/files/2023-07/trame_des_notifications_de_violations_de_donnees_0.odt puis faite la notification en ligne : https://notifications.cnil.fr/notifications/ QUE FAUT IL FAIRE vis à vis de vos clients ? Ne faites rien pour le moment ! Il faut prévenir les clients si la fuite de données est avérée. En effet, la CNIL précise : en cas de doute sur l’incidence de la fuite de données personnelles concernant la vie privée des personnes concernées (c’est le cas à ce jour car nous ne savons pas s’il y a eu fuite ou non de données), notifiez à la CNIL qui vous indiquera s’il est nécessaire d’informer les personnes. Voilà Croisons les doigts pour que vous puissiez rapidement travailler et que les données des clients ne fuitent pas.!
SRRI ou SRI...that's the question
L'ACPR nous fait le plaisir de préciser sa position sur le parcours client en assurance : connaissance client, durabilité, devoir de conseil, actualisation,...
Le Sénat veut protéger les consommateurs contre les appels téléphoniques non sollicités et renforcer leurs droits en matière de protection des données personnelles.
Nouveautés dans les agréments de SGP...
Distribution des certificats à gestion active ou actively managed certificates " (AMC) auprès de clients non professionnels ...l'AMF remet les pendules à l'heure
Pour les courtiers, le mandat d'arbitrage ce sera plus de liberté...mais plus de responsabilité ! Et pour les SGP une inscription ORIAS ?
Assurance : enfin des précisions sur la périodicité de l'actualisation des données du client et du conseil !
Voici les supports de notre intervention commune avec la CNCEF PATRIMOINE