Une faille Experian vient de révéler des codes confidentiels protégeant les données de crédit

Les gels de crédit sont le meilleur moyen de prévenir la fraude liée aux nouveaux comptes, lorsque des criminels ouvrent de faux comptes en votre nom. Mais un site du bureau de crédit a rendu extrêmement difficile le contournement de la sécurité censée protéger vos rapports de crédit.

Le site d’Experian a révélé les numéros d’identification personnels (les NIP nécessaires pour dégeler le gel des crédits) après que les utilisateurs eurent répondu à leurs questions de sécurité par une réponse générale: Aucune de ces réponses.

Il y a plus d'un an, l'expert en sécurité Brian Krebs a signalé une faille similaire. À ce stade, les utilisateurs devaient correctement répondre aux quatre questions «d’authentification basée sur la connaissance» utilisées pour les identifier. Le problème avec cette méthode, selon Krebs, est que les informations personnelles nécessaires pour deviner les réponses sont facilement disponibles en ligne, que ce soit par le biais de sites commerciaux ou criminels.

Mais pendant plusieurs heures jeudi - et pour qui sait combien de temps avant cela - vous n’aviez même pas à deviner.

Un lecteur nous a alertés sur ce problème et plusieurs d’entre nous qui avaient des gels de crédit ont pu le reproduire. Nous avons demandé à nos abonnés sur Facebook et Twitter et avons entendu d'autres personnes qui avaient également accès à leurs codes confidentiels.

Défaut dans le processus normal

Pour obtenir les chiffres, les personnes ont rempli le formulaire sur la page de récupération du code PIN d'Experian avec le nom, l'adresse, le numéro de sécurité sociale et la date de naissance de la personne concernée - exactement le type d'informations compromises lors de l'infraction commise l'an dernier à Equifax, et facilement disponibles à la vente. sur le web sombre. Le formulaire nécessitait une adresse électronique, qui ne devait pas nécessairement être celle associée au compte Experian de la personne. En répondant «rien de ce qui précède» aux questions de sécurité - même si certaines des réponses données étaient correctes - vous avez accès au code PIN de cette personne.

Avec le code PIN, n'importe qui peut décongeler le gel de son crédit et demander un crédit en son nom.

Le défenseur des consommateurs, Mike Litt, a également pu récupérer son code confidentiel en utilisant la faille. «Il n’ya aucune excuse à cela», déclare Litt, directrice de campagne pour le PIRG américain, une organisation de défense de l’intérêt public. "Comment laissez-vous les clés de la porte au-dessus du tapis d'accueil?"

Un porte-parole d'Experian a publié jeudi après-midi une déclaration dans laquelle il déclarait: «Nous sommes convaincus que notre authentification est sécurisée et qu'aucun fichier de crédit n'est en jeu, nous avons pris des mesures supplémentaires pour rendre le processus plus sécurisé. Nous continuons à surveiller régulièrement nos systèmes, en prenant des mesures immédiates lorsque cela est nécessaire pour renforcer la sécurité des données. ”

Les messages d'erreur entrent en jeu

À la fin de jeudi, beaucoup d’entre nous ont commencé à recevoir les messages d’erreur que nos réponses auraient dû générer. Nous avons été priés d’expédier à Experian nos informations d’identification, telles que des copies de notre permis de conduire, des factures de services publics et de la carte de sécurité sociale.

Le courrier américain, s’il faut le dire, n’est pas un moyen sûr de transmettre de telles informations. Mais comme ces détails sont probablement déjà entre des mains criminelles, nous en resterons là pour le moment.

Ceci est un rappel supplémentaire de la nécessité de surveiller en permanence nos dossiers de crédit et nos scores pour les comptes frauduleux, même si un gel du crédit est en place, comme nous le devrions toujours.

Ce qui est vraiment inquiétant, c’est que le gel de la sécurité est censé être l’un des rares remparts efficaces que l’on puisse opposer à la fraude. C’est la raison pour laquelle les experts en sécurité les recommandent depuis des années et le Congrès a finalement libéré les gels et les dégels à partir du 21 septembre.

La facilité avec laquelle cette protection essentielle pourrait être contrecarrée nous indique que les agences de crédit ne prennent toujours pas suffisamment au sérieux la sécurité de nos informations.

La rédactrice en chef, Bev O’Shea, a contribué à ce rapport.