L'opérateur indique que les identifiants de connexion utilisés par ses abonnés sur d'autres sites ont été usurpés.
De nombreux clients de Bouygues Telecom ont reçu ces dernières semaines un courrier électronique ainsi qu'un SMS leur indiquant qu'ils venaient de souscrire à un abonnement Netflix via l'opérateur, sans avoir pourtant fait la démarche. Si certains ont cru à une erreur (ou un coup de force) de Bouygues Telecom, l'entreprise a rapidement compris que les clients floués ont vu leur identité être usurpée.
Des identifiants peu sécurisés récoltés sur Internet
Les premiers signalements constatés ont été remontés sur le forum de l'opérateur Bouygues Telecom peu après le début du confinement, aux alentours du 18-19 mars, de façon assez récurrente. Sur le site, des dizaines de clients ont témoigné ces dernières semaines avoir reçu une confirmation d'abonnement à Netflix, par mail et par SMS, sans l'avoir demandée, évidemment.
Le 9 avril, un conseiller de Bouygues Telecom apportait une première réponse sur le forum dédié aux abonnés : « Vos identifiants de connexion à votre Espace Client ont été utilisés à votre insu afin de souscrire à l'option Netflix. Bouygues Telecom n'est pas responsable de l'usurpation et utilisation de vos identifiants pour la souscription de cet abonnement Netflix »
Concrètement donc, et ce qu'il faut avoir à l'esprit, c'est que la souscription est bien frauduleuse, et que l'opérateur n'est pas en cause dans celle-ci, bien qu'ayant été l'instrument du désagrément.
Renforcer la sécurisation des accès aux sites web et applications
De (trop) nombreux clients, peu avertis aux précautions à prendre pour protéger leurs comptes et informations personnelles, ont pris ces dernières années l'habitude d'utiliser les mêmes identifiants de connexion sur différents sites, services ou applications. Dans le cas présent, de nombreux identifiants ont été usurpés sur Internet, sans doute grâce à une protection du mot de passe bien trop faible, avec le but, peut-être, de les revendre par la suite.
Aaron Zander, responsable informatique chez HackerOne qui nous a transmis l'information, rappelle qu' « Il existe des téraoctets de données, des millions et des millions d'emails et de mots de passe, qui s'inscrivent dans la dynamique d'entropie du mot de passe à l'ère numérique. Le mot de passe que nous avons utilisé des centaines de fois au début des années 2000 revient désormais nous hanter ».
Et le spécialiste de la cybersécurité de rappeler qu'outre le devoir de mieux protéger ses identifiants de connexion, il est de la responsabilité des sites web « d'éviter de devenir des bancs d'essai pour la découverte d'informations d'authentification exploitables ». Pour lui, « il est important d'empêcher une personne ou une adresse IP d'effectuer plus que quelques tentatives de connexion ». Les captcha, la limitation du nombre de tentatives possibles ou la détection des navigateurs font partie des solutions qui pourraient permettre d'éviter une certaine insistance des cybercriminels.
Bouygues Telecom, de son côté, a indiqué à chacun de ses clients inopinément abonnés à Netflix que les sommes prélevées seraient remboursées sous forme d'avoir appliqué dès la facture suivante.
