Piratage de British Airways: pourquoi l'amende record de 183 millions de livres sterling aurait pu être bien plus élevée
La violation des données des compagnies aériennes a été le premier cas majeur dans le cadre des nouvelles règles du RGPD
Pascal Pavani/AFP/Getty Images
British Airways a été condamnée à une amende de 183 millions de livres sterling pour une violation de sécurité majeure l'année dernière - la plus grosse sanction jamais infligée par le Bureau du commissaire à l'information (ICO) du Royaume-Uni.
La compagnie aérienne se dit surprise et déçue par la décision et envisage de faire appel.
Mais les experts soulignent que le régulateur aurait pu gifler BA avec une amende totalisant plus du double de ce montant, en vertu du règlement général européen sur la protection des données (RGPD). Quelles sont donc les nouvelles règles et pourquoi cette affaire était-elle si importante ?
Que s'est-il passé dans le piratage de BA ?
Le 6 septembre, la compagnie aérienne a annoncé que les informations personnelles et de paiement de dizaines de milliers de clients avaient été volées lors d'une violation de données.
Les détails des cartes de paiement, y compris le numéro, la date d'expiration et le code de sécurité à trois chiffres ou la «valeur de vérification de la carte» (CVV) ont été illégalement extraits du système de réservation, rapporte L'indépendant .
BA a déclaré que des pirates avaient mené une attaque criminelle sophistiquée et malveillante, compromettant 382 000 transactions effectuées sur son site Web et son application entre le 21 août et le 5 septembre. La police et les autorités compétentes ont été prévenues, a ajouté l'entreprise.
S'excusant auprès des personnes concernées, les patrons de BA ont déclaré que la violation avait été résolue et que les données volées n'incluaient pas les détails du voyage ou du passeport. L'entreprise avait commencé à contacter les clients au moment où la violation a été découverte, a ajouté la compagnie aérienne.
L'ICO a déclaré cette semaine que les utilisateurs du site Web avaient été détournés vers un site frauduleux, où les détails d'environ 500 000 personnes avaient été collectés.
Suite à l'annonce de l'amende, le président de la BA, Alex Cruz, a déclaré lundi : British Airways a réagi rapidement à un acte criminel visant à voler les données des clients. Nous n'avons trouvé aucune preuve de fraude/activité frauduleuse sur les comptes liés au vol.
Où intervient le RGPD ?
L'amende de BA est la première à être rendue publique en vertu des nouvelles règles, qui sont entrées en vigueur en mai 2018 dans le plus grand bouleversement de la confidentialité des données en 20 ans, selon le BBC .
Jusqu'à présent, la plus grosse amende était de 500 000 £, infligée à Facebook pour son rôle dans le scandale des données Cambridge Analytica. C'était le maximum autorisé par les anciennes règles de protection des données qui s'appliquaient avant le RGPD, explique le diffuseur.
Les nouvelles règles autorisent une pénalité maximale de 4% du chiffre d'affaires du coupable - ce qui pour BA se serait élevé à 488 millions de livres sterling. Au lieu de cela, la pénalité infligée s'élève à 1,5% du chiffre d'affaires de la compagnie aérienne en 2017 et est considérablement inférieure au maximum de 488 millions de livres sterling.
L'affaire a suscité un intérêt considérable en tant que première du genre, comme l'a noté la journaliste en cybersécurité Kate O'Flaherty dans un article pour Forbes Septembre dernier.
Ian Thornton-Trump, un vétéran de l'industrie de la cybersécurité, a déclaré à O'Flaherty que ce serait une décision difficile pour l'ICO. Tout le monde veut que le RGPD ait du mordant, donc l'ICO doit trouver le bon équilibre ici, a-t-il expliqué.
La violation de BA n'était pas aussi grave que certains autres piratages récents, comme celui subi par Equifax en 2017 , et l'amende maximale pourrait pousser BA au point d'insolvabilité, a ajouté Thornton-Trump.
Il a prédit une amende de l'ordre de 5 à 10 millions de livres sterling, ajoutant : C'est substantiel mais cela ne met pas l'entreprise en danger et n'est pas « trop politique ».
Pour protester contre l'amende de 183 millions de livres sterling annoncée cette semaine, Willie Walsh, directeur général de l'International Consolidated Airlines Group (IAG), la société mère de BA, a déclaré : .
