Parmi ses grands arguments commerciaux, Orange met souvent en avant la robustesse de ses défenses contre les cyber-attaques. Mais aucune entreprise n’est infaillible : 15 000 clients belges ont vu leurs données personnelles, incluant leurs numéros de compte en banque, dérobées par un hacker.
Fin mai 2018, des pirates parviennent à pénétrer dans un serveur de test du groupe Orange sur lequel étaient stockées les données de 15 000 clients belges. Toutes les informations de ce serveur ont été dérobées : elles incluaient noms, prénoms, adresses physiques et électroniques, numéros de téléphone, numéros de carte d’identité et numéros de compte en banque des clients – l’entreprise précise que les numéros de cartes bancaires n’étaient, heureusement, pas stockées sur ledit serveur.
Une communication en retard sur les standards imposés par le RGPD
Il reste que c’est une fuite d’importance, qui pourrait cause de lourds préjudices aux clients concernés. De plus, l’opérateur télécoms a attendu une quinzaine de jours pour révéler cette fuite, qui a été rendue publique le 14 juin – bien au-delà du délai légal de communication (72 heures) imposé par le RGPD en cas de vol de données personnelles.
Orange justice ce délai par les besoins de l’enquête. Le groupe a également expliqué que la fuite venait d’une erreur humaine lors d’une opération sur le serveur, commise par un sous-traitant. Préciser qu’il ne s’agit pas d’un employé labellisé Orange semble être une information rassurante aux yeux de l’opérateur – rejoignant de nombreuses sociétés qui se réfugient derrière cette excuse quand elles commettent de graves erreurs. Mais ce sont bien ces sociétés elles-mêmes qui décident de sous-traiter de plus en plus pour des raisons de rentabilité…
Un image de spécialiste en sécurité écornée
Le coup de canif dans l’image de la marque est d’autant plus franc qu’Orange communique régulièrement sur le haut niveau de sécurité qu’il offre dans le traitement des données de ses clients, mettant en avant Orange Cyberdéfense et sa « capacité à anticiper les attaques et à chiffrer ». Une capacité d’anticipation qui a, visiblement, des limites…