Le 118 412 et le 118 818 victimes et responsables d’un vol massif de données personnelles

Le 118 412 et le 118 818, éditeurs de services de renseignements téléphoniques qui assurent, contre rémunération, la mise en relation avec des grandes marques, banques, acteurs de santé, ont vu fin février des milliers d’enregistrements téléphoniques qu’il acheminent, dérobés. Le 118 777 et le 118 707 semblent également concernés selon les témoignages de quelques clients de Canal+. 

Qu’elles aient été volées ou piratées, les données personnelles contenues dans les enregistrements qui ont circulé peuvent ouvrir droit à des plaintes de la part des consommateurs. Ce qu’il faut savoir sur cette affaire qui a défrayé le milieu du BPO et des services clients francophones, depuis le début de la semaine.

Qui est responsable du vol des données ou peut être soupçonné d'avoir insuffisamment protégé ses données ?

" Le hacker est responsable mais juridiquement, et vis-à-vis du consommateur, l’éditeur du service de renseignement téléphonique est présumé responsable puisque c’est lui qui opère le service de mise en relation en France avec Canal +, Orange, La Banque Postale, Free, ManoMano et les autres marques concernées par le vol. La société qui édite et exploite le service est un opérateur télécom, » indique Emmanuel Tricaud, spécialiste de la réglementation télécom. Il devra comprendre et identifier ce qui s’est passé mais un consommateur peut déposer plainte contre lui si ses données personnelles se trouvent dans la conversation enregistrée. Même si le marché est en forte baisse, différents éditeurs exploitent et monétisent encore en France des services de renseignement téléphonique.

Quels sont les services de renseignement concernés?

Le 118 412, dans la majorité des cas, le 118 818, opéré par Voxnode, le 118 777 qui semble avoir disparu et le 118 707, qui est cité par quelques clients des marques comme étant le numéro que certains se souviennent d’avoir appelé. Ce dernier est opéré par Monetiz.

nb: Depuis, le 118 707 a été blanchi par l'enquête, aucun appel n'ayant transité par ce service. Lire ici les précisions apportées par le fondateur de Monetiz.

Où sont situés les call-centers qui décrochent, répondent au téléphone et assurent le transfert ?

Dans le cas du 118 412 et pour le 118 707, les centres d’appels et de BPO qui assurent la mise en relation sont situés en Afrique sub-saharienne, au Maroc voire dans d’autres pays francophones, selon les dirigeants des deux éditeurs concernés, interrogés par nos soins. Franck Gillot-Vasseur, gérant de NEO éditions : « Nous opérons en effet le 118 412, qui ne génère pas un volume massif d’appels chaque mois. Je doute donc que nous soyons à l’origine d’un vol d’un million de conversations téléphoniques. Mais, depuis le début de semaine,  nous avons été informés par quelques marques telles Bouygues Telecom ou BNP Paribas que c’était notre service qui avait routé les appels concernés. Nos prestataires ne nous ont informé d’aucun vol, sachant que celui-ci peut intervenir à différents points de la route télécom prise par l’appel.»

Samuel Ranson-Kaufmann, chez Monetiz, ajoute : « Nous opérons bien le 118 707. Nous n’avons pas été prévenus d’un vol d’enregistrements et notre prestataire, qui est localisé en Côte d'Ivoire, nous indique qu’il n’a constaté aucun téléchargement massif de données. Nous ne pensons pas être impliqués.»

Nicolas LECA, qui opère le 118 818, semble avoir identifié l'origine de la faille ou du vol: “Nous gérons le 118 818 depuis très peu de temps et avons testé un nouveau prestataire pour la gestion des appels. Le test a été interrompu, en raison d'une qualité de service défaillante et c'est précisément durant la période de ce test que les vols semblent avoir été réalisés”

Une affaire inédite et exceptionnelle ?

Selon Julien Métayer, spécialiste en cybersécurité, qui a été l’un des premiers en France a être informé de la cession de ce fichier d’un million de conversations : « C’est la 1ère fois que je vois un fichier de cette taille, et surtout comportant les données audio, les enregistrements des conversations, dérobé ou intercepté et à vendre. Le fichier a été mis en vente le lundi 13 mars, mais vers 16h, il n’était plus disponible à l’achat. Le prix de cession était d’ailleurs étonnant, assez faible au regard de sa taille et de la nature des informations contenues. » Voir notre article sur ce sujet.

Quelles marques sont concernées par ce hacking?

Amazon, Apple, Booking.com, Bouygues Telecom, Canal +, Clinique La Maison Fleurie (Ramsay Santé), Coriolis Telecom, eDreams, Foliateam, Free, G7, Iberia, La Poste, Biogroup, La Banque Postale, ManoMano, Crédit Agricole, N26, Compte Nickel (BNP), Oney, Opodo, Orange, Ouigo, Playstation (Sony), Rakuten, Réglo Mobile (Leclerc), SFR, SNCF, UPS, VetoAdom.

Quels types d’information et de données personnelles ont été dérobées ?

Le numéro téléphone mobile ou fixe des appelants, leur identité, leur adresse, leurs numéros de carte de crédit ainsi que les cryptogrammes, des codes confidentiels, des données de santé (dans certains cas).

Manuel Jacquinet