Études

Les violations de données financières ont représenté 153,3 millions de fuites de données entre janvier 2018 et juin 2022.

Depuis janvier 2018, les sociétés financières ont subi près d’un millier de violations de données, affectant plus de 153,3 millions de dossiers.

Notre équipe de chercheurs a analysé les données de 2018 à juin 2022 pour découvrir la principale cause de ces violations, combien d'enregistrements ont été affectés chaque mois et chaque année, les organisations financières les plus touchées et quels États américains connaissent le plus de violations financières.

Notre étude a porté sur des violations qui ont touché des millions de personnes, dont certaines ont conduit à l'exploitation de données financières personnelles, mettant de nombreuses victimes hors de leur poche. Les coordonnées bancaires, les numéros de sécurité sociale, les identifiants/mots de passe et les numéros d’identification fiscale ne sont que quelques exemples des types de données que les acteurs malveillants volent aux entités financières.

2021 a été la pire année en matière de violations de données financières, avec une augmentation de 12 % par rapport à 2020 (passant de 233 violations à 260). Pour l’instant, l’année 2022 semble plus calme en termes de nombre d’infractions (seulement 37 infractions ont été enregistrées jusqu’à fin juin). Cependant, le nombre médian d’enregistrements touchés est le plus élevé depuis 2018, et avec de nombreuses violations signalées plusieurs mois après leur survenue, il est probable que ces chiffres augmenteront avec le temps.

Principales conclusions:

982 violations de données financières de janvier 2018 à juin 2022
153 334 145 dossiers individuels ont été affectés à la suite de ces violations
2021 a été l’année la plus importante en matière de violations financières avec 260 signalées (la deuxième plus élevée était 2018 avec 247)
2019 a été l'année la plus importante en termes de nombre de dossiers touchés, avec plus de 101 millions au total (2021 a eu la deuxième année la plus élevée, mais avec un chiffre bien inférieur de 23,2 millions).
Le vaste nombre de records de 2019 provient principalement de la violation de Capital One, N.A., où 100 millions de dossiers (constitués de détails de paiement et de carte) ont été volés aux victimes.
2022 est l'année la plus importante (jusqu'à présent) pour le nombre médian d'enregistrements touchés par des violations de données financières : 3 633
Les compagnies d'assurance sont les plus touchées par les violations de données, suivies de près par les banques et les sociétés d'investissement.
Le piratage était le type de violation le plus courant, représentant plus de 50 % des violations (508 sur 982).
Les attaques de ransomwares constituent une menace croissante pour les violations de données financières, ayant considérablement augmenté ces dernières années.

Alors que les 50 États américains ont déclaration obligatoire des violations de données , il existe quelques variantes. Par exemple, certains ont des exigences différentes en fonction du nombre d'enregistrements concernés, par ex. en Alaska, si plus de 1 000 personnes doivent être informées d’une violation, les agences d’information sur la consommation doivent également être informées. De même, seuls certains États disposent de listes accessibles au public des notifications de violations de données qu’ils ont reçues. Par conséquent, les chiffres que nous avons trouvés ne font probablement qu’effleurer la véritable ampleur des violations de données financières.

Les années les plus importantes pour les violations de données financières

2021 a été l’année la plus importante en matière de violations de données financières avec 260 au total. L’année 2018 a également enregistré un nombre élevé de violations, avec 247 signalées, mais le nombre d’enregistrements touchés est le plus faible, avec seulement 3,5 millions.

Si l’on exclut les 100 millions d’enregistrements affectés par la violation de données de Capital One en 2019, les enregistrements violés ont augmenté d’année en année, passant de 3,5 millions en 2018 à 18,3 millions en 2020 et une nouvelle augmentation à 23,2 millions en 2021.

De même, si l’on considère le nombre médian de dossiers touchés chaque année, il y a eu de fortes augmentations de 2018 à 2019 (augmentation de 145 pour cent, passant de 585 à 1 433) et de 2019 à 2020 (augmentation de 100 pour cent, passant de 1 433 à 2 872). Ce chiffre a légèrement diminué entre 2020 et 2021 (en baisse de 1,5 pour cent pour atteindre 2 828), mais a augmenté de 28 pour cent entre 2021 et 2022 (pour atteindre 3 633). Cela s’ajoute au fait que les attaques semblent devenir de plus en plus ciblées dans leur approche.

À quoi ressemble 2022 en matière de violations de données financières ?

Au cours des six premiers mois de 2022, 37 violations de données financières ont été signalées, affectant 7 056 706 enregistrements. Même si ces chiffres peuvent paraître modestes aujourd’hui, il est probable qu’ils augmenteront dans les mois à venir. Néanmoins, à travers notre violation de données et les rapports sur les ransomwares, nous constatons une baisse en 2022. Cela est peut-être dû à des attaques plus ciblées. Nous pouvons le constater avec l’attaque de ransomware contre la Professional Finance Company, où plus de 650 prestataires de soins de santé et un nombre croissant de victimes (1,9 million et plus) auraient été touchés par cette attaque.

Violations de données par type de société financière

Lorsque nous ventilons les données par type de société financière touchée par la violation de données, nous pouvons voir les types d'organisations ciblées et comment cela a changé d'année en année.

Attention : une entreprise a été classée en fonction de son service principal. Par exemple, certaines sociétés d'investissement peuvent également offrir des conseils sur les polices d'assurance, mais ont été classées dans la catégorie des sociétés d'investissement.

Dans l’ensemble, les compagnies d’assurance sont les organisations les plus ciblées, représentant 23 % (223) de toutes les violations de données financières que nous avons suivies depuis 2018. Elles sont suivies par les banques (170 violations) et les sociétés d’investissement (162 violations). Toutefois, d’une année sur l’autre, ce sont les compagnies d’assurance qui ont connu la plus forte croissance. Les attaques bancaires ont culminé en 2020, tandis que les attaques contre les investissements ont diminué en 2020 mais ont augmenté à nouveau en 2021.

Les sociétés de prêts hypothécaires ont également connu une augmentation des attaques, en hausse de 33 % (de 15 à 20) entre 2020 et 2021. En revanche, les sociétés d’épargne et de crédit ont connu moins d’attaques sur une base annuelle, passant de 25 attaques en 2018 à 11 en 2021. 2021.

En ce qui concerne les enregistrements touchés par ces attaques, le secteur bancaire a été le plus touché, mais la plupart d'entre eux (100 millions sur 104,7 millions) provenaient de la violation de Capital One. Les compagnies d’assurance ont également vu un grand nombre de dossiers concernés, avec près de 20 millions de personnes touchées au cours de notre période de référence.

Si nous regardons lemédianles enregistrements touchés par le type d’organisation financière, les organisations les plus fortement touchées changent. Les crypto-monnaies (53 080) et les banques Internet (3,75 millions) ont les médianes les plus élevées, mais cela est dû au fait que seules quelques entreprises ont été attaquées dans leurs catégories respectives, ce qui fausse les médianes ici. Cependant, sur un plus grand nombre de violations, ce sont les sociétés de retraite qui voient le nombre médian de dossiers touchés le plus élevé : 22 661.

C’est nettement plus élevé que les assurances (avec une médiane de 1 527), les banques (avec une médiane de 2 401) et les sociétés d’investissement (avec une médiane de 1 076). Et bien plus élevé que toutes les autres catégories que nous avons couvertes : comptabilité et fiscalité (1 999), sociétés de courtage (4 365), coopératives de crédit (5 671), conseillers financiers (357), technologie financière (1 103), sociétés de prêts hypothécaires (1 928). ), et l'épargne et les prêts (1 479).

Les plus grandes violations de données financières connues de janvier 2018 à juin 2022

Selon nos conclusions, il y a eu 13 violations de données financières qui ont touché au moins un million de dossiers. Ceux-ci sont:

2019, Capital One, N.A. = 100 millions d'enregistrements concernés : Un pirate informatique a accédé illégalement et obtenu les informations personnelles et bancaires de 100 millions d’utilisateurs de cartes de crédit Capital One en raison d’une mauvaise configuration d’un pare-feu. Cela a permis à l'intrus d'accéder aux données utilisateur stockées par Capital One sur Amazon Web Services.
2021, Cash App Investing, LLC = 8,2 millions d'enregistrements concernés : Les données personnelles des clients de Cash App ont été compromises après qu'un ancien employé a téléchargé des rapports internes sans autorisation. Les données exposées comprenaient leur numéro de compte de courtage ainsi que leur activité de négociation récente.
2020, Dave, Inc. = 7,5 millions d'enregistrements concernés : Une partie malveillante a obtenu un accès non autorisé à Dave, Inc (une application de finances personnelles).
2020, Infinity Insurance Company = 5,72 millions de dossiers concernés : Après enquête, Infinity Insurance a découvert un accès non autorisé à des fichiers sur certains serveurs de l'entreprise au sein de son réseau pendant deux jours.
2021, Insurance Technologies Corporation = 4,34 millions d'enregistrements concernés : Insurance Technologies Corp. a été contrainte de payer 11 millions de dollars dans le cadre d'un recours collectif pour violation de données auprès du tribunal de district des États-Unis. L'entreprise n'a pas réussi à protéger et sécuriser adéquatement les informations des clients, ce qui a entraîné l'exploitation des informations personnelles par une partie non autorisée.
2022, Elephant Insurance Services, LLC = 2,76 millions d'enregistrements concernés : Après avoir soupçonné une activité inhabituelle sur son réseau, Elephant Insurance a déterminé que des informations sur les consommateurs pouvaient avoir été consultées ou copiées à partir de leur réseau, notamment les noms, les numéros de permis de conduire et les dates de naissance.
2021, Lakeview Loan Servicing, LLC = 2,53 millions d'enregistrements concernés : Cette violation financière a provoqué un tollé lorsque Lakeview Loan Servicing n'a pas informé les consommateurs concernés pendant trois mois. Les membres du groupe ont subi des dépenses personnelles et leurs informations personnelles ont été compromises.
2022, la Société Professionnelle de Finance = 1,9 million de dossiers : Frappée par une attaque de ransomware en février 2022, la société de recouvrement de créances Professional Finance Company a signalé au ministère américain de la Santé et des Services sociaux que plus de 1,9 million de dossiers de patients avaient été touchés.
2022, Texas Department of Insurance = 1,8 million de dossiers concernés : Les informations personnelles de près de 2 millions de Texans ont été exposées et accessibles au public pendant près de trois ans en raison d’un problème dans le code de l’application Web du département.
2021, Horizon Actuarial Services, LLC = 1,54 million d'enregistrements concernés : Dans cette attaque de ransomware, un groupe de pirates informatiques a reçu une somme d’argent non divulguée en échange d’informations volées devant être supprimées et non distribuées ou utilisées à mauvais escient. Deux serveurs informatiques ont été consultés sans autorisation.
2021, Flagstar Bank (tiers Accellion) = 1,54 million d'enregistrements concernés : Il a fallu six mois à Flagstar pour reconnaître qu'il y avait eu un accès non autorisé à son réseau, ce qui avait entraîné le vol de numéros de sécurité sociale de 1,5 million de clients.
2018, SunTrust Banks, Inc = 1,5 million d'enregistrements concernés : Un ancien employé a volé des copies imprimées des listes de contacts de clients comprenant les noms, adresses, numéros de téléphone, soldes de comptes et e-mails.
2020, Arthur J. Gallagher & Co. = 1,14 million de dossiers concernés : Gallagher a détecté un événement de ransomware affectant ses systèmes internes. Les pirates ont obtenu des données personnelles très médiatisées sur les clients, notamment des passeports, des numéros d'identification fiscale, des informations de carte de crédit, des signatures électroniques, des noms d'utilisateur et des mots de passe.

Ces violations de données financières les plus importantes couvraient une gamme de types de violations de données, notamment le piratage, les ransomwares, la divulgation et les violations internes. Consultez le graphique ci-dessous pour connaître le type de violation de données le plus couramment utilisé.

Le piratage s'est avéré être la méthode la plus populaire en matière de violations de données, avec plus de la moitié des violations se produisant de cette manière (508 violations sur 982). Les attaques de piratage ont augmenté de 16 % entre 2019 et 2020 et de plus de 30 % entre 2020 et 2021.

Certaines des plus fortes augmentations de ces dernières années proviennent des ransomwares, qui ont été à l'origine de 5 violations en 2018, 2 en 2019, 17 en 2020 et 26 en 2021. Ces types de violations, dans lesquelles des acteurs malveillants exigent une somme d'argent en 2021. retour pour destruction ou restitution en toute sécurité des données volées, deviennent de plus en plus populaires. C’est quelque chose que nous avons noté dans notre suivi continu des attaques de ransomwares aux États-Unis, dans lesquelles les pirates informatiques utilisent des tactiques d’extorsion « double-dip ». Cela implique que des acteurs malveillants chiffrent les systèmes pour provoquer des temps d'arrêt paralysants pour les organisations, tout en volant des données qu'elles peuvent détenir contre rançon ou vendre ailleurs.

En revanche, nous constatons une diminution des violations physiques, avec zéro signalé en 2020 et 2021. Cela reflète le déplacement de nombreux documents vers des formats en ligne, ce qui, bien que pratique, expose ces documents à un risque plus élevé d'exploitation via le piratage – comme nous pouvons le constater. voir.

Les 5 États les plus touchés par les violations de données financières et les enregistrements concernés

Si nous examinons le nombre de violations de données par État américain, nous pouvons constater que la Californie est de loin celle qui en compte le plus, représentant 115 (près de 12 %) des 982 violations de données.

Violations de données financières et enregistrements affectés par année et état

État	Nombre total de violations	Nombre total d'enregistrements concernés	Population de l'État	Nombre de dossiers concernés pour 100 000 personnes	Nombre total de violations	Nombre total d'enregistrements concernés	Nombre total de violations	Nombre total d'enregistrements concernés	Nombre total de violations	Nombre total d'enregistrements concernés	Nombre total de violations	Nombre total d'enregistrements concernés	Nombre total de violations	Nombre total d'enregistrements concernés
Alabama	13	5 830 381	5 039 877	115 685	4	9 429	4	71 488	3	5 733 064	deux	16 400	0	0
Alaska	1	0	732 673	0	0	0	0	0	0	0	1	0	0	0
Arizona	7	203 829	7 276 316	2 801	1	0	1	825	1	0	4	203 004	0	0
Arkansas	3	503	3 025 891	17	1	0	0	0	0	0	deux	503	0	0
Californie	115	8 733 256	39 237 836	22 257	16	100 272	24	170 707	29	8 025 329	40	263 840	6	173 108
Colorado	quinze	2 272 681	5 812 069	39 103	3	4	deux	1 867	4	28 215	5	323 654	1	1 918 941
Connecticut	18	220 729	3 605 597	6 122	4	53 865	4	45 624	1	0	8	114 232	1	7 008
Delaware	7	2 538 188	1 003 384	252 963	1	752	3	167	deux	8	1	2 537 261	0	0
District de Colombie	9	156 106	670 050	23 298	1	0	4	5 671	deux	14 637	deux	135 798	0	0
Floride	42	866 384	21 781 128	3 978	13	16 391	8	22 967	7	694 222	14	132 804	0	0
Géorgie	vingt-et-un	3 110 174	10 799 566	28 799	7	1 504 624	5	4 975	6	49 124	3	1 551 451	0	0
Hawaii	3	60 340	1 441 553	4 186	0	0	1	55 840	0	0	deux	4 500	0	0
Idaho	1	17 438	1 900 923	917	0	0	1	17 438	0	0	0	0	0	0
Illinois	57	1 288 539	12 671 469	10 169	quinze	58 156	7	11 960	16	1 194 196	18	24 227	1	0
Indiana	35	886 001	6 805 985	13 018	quinze	818 357	5	9 603	6	379	8	57 540	1	122
Iowa	26	372 257	3 193 079	11 658	6	7 007	7	40 924	3	26 834	dix	297 492	0	0
Kansas	8	191 639	2 934 582	6 530	0	0	1	1 639	3	19 211	4	170 789	0	0
Kentucky	7	37 446	4 509 394	830	deux	1 573	1	1 527	1	1 548	deux	23 216	1	9 582
Louisiane	6	329 705	4 624 047	7 130	0	0	deux	42 385	1	170 426	3	116 894	0	0
Maine	3	2 914	1 372 247	212	0	0	deux	2 038	0	0	1	876	0	0
Maryland	30	214 702	6 165 129	3 483	dix	3 773	14	121 478	4	1 226	deux	88 225	0	0
Massachusetts	41	349 793	6 984 723	5 008	14	274 959	8	8 109	5	19 733	onze	45 039	3	1 953
Michigan	25	1 867 666	10 050 811	18 582	4	4 304	5	65 258	6	94 818	8	1 697 534	deux	5 752
Minnesota	29	823 154	5 707 390	14 423	8	2 346	5	93 960	8	28 081	7	698 592	1	175
Mississippi	3	21 764	2 949 965	738	1	7 690	1	0	1	14 074	0	0	0	0
Missouri	16	503 865	6 168 187	8 169	4	819	6	11 298	0	0	6	491 748	0	0
Montana	4	1 910	1 104 271	173	deux	489	0	0	1	1 311	0	0	1	110
Nebraska	onze	60 318	1 963 692	3 072	6	12 241	3	41 401	0	0	1	3 531	1	3 145
Nevada	1	0	3 143 991	0	0	0	0	0	1	0	0	0	0	0
New Hampshire	9	7 517	1 388 992	541	3	298	1	1	1	168	4	7 050	0	0
New Jersey	33	304 124	9 267 130	3 282	9	4 244	7	8 269	9	27 533	8	264 078	0	0
Nouveau Mexique	5	242 573	2 115 877	11 464	0	0	0	0	deux	0	deux	12 825	1	229 748
New York	80	916 599	19 835 913	4 621	vingt-et-un	88 364	quinze	123 973	vingt-et-un	262 105	vingt-et-un	381 850	deux	60 307
Caroline du Nord	18	320 154	10 551 162	3 034	4	105 990	3	2 378	6	21 658	4	190 128	1	0
Dakota du nord	3	6 955	774 948	897	0	0	0	0	1	0	1	6 955	1	0
Ohio	29	235 817	11 780 017	2 002	5	106 256	8	23 750	9	10 640	6	91 050	1	4 121
Oklahoma	8	240 594	3 986 639	6 035	1	7 013	0	0	7	233 581	0	0	0	0
Oregon	7	8 207 909	4 246 155	193 302	deux	1 090	deux	3 991	1	0	deux	8 202 828	0	0
Pennsylvanie	48	275 387	12 964 056	2 124	onze	23 356	8	15 048	quinze	88 615	12	116 249	deux	32 119
Rhode Island	deux	547	1 095 610	cinquante	1	262	1	285	0	0	0	0	0	0
Caroline du Sud	4	58 377	5 190 705	1 125	0	0	0	0	deux	11 424	1	28 201	1	18 752
Dakota du Sud	7	39 824	895 376	4 448	0	0	deux	1	4	39 823	0	0	1	0
Tennessee	quinze	56 080	6 975 218	804	5	4 605	1	1 513	3	12 366	4	37 313	deux	283
Texas	63	7 594 826	29 527 941	25 721	18	223 320	onze	50 370	18	1 053 993	13	4 438 350	3	1 828 793
Utah	13	306 618	3 337 975	9 186	7	2 963	3	23 544	1	220 245	deux	59 866	0	0
Vermont	4	5 596	645 570	867	deux	0	deux	5 596	0	0	0	0	0	0
Virginie	38	103 128 306	8 642 274	1 193 301	dix	2 637	9	100 199 323	dix	146 493	6	17 166	3	2 762 687
Washington	quinze	36 275	7 738 692	469	deux	2 560	5	8 341	4	8 310	4	17 064	0	0
Virginie occidentale	1	5 114	1 782 959	287	0	0	0	0	1	5 114	0	0	0	0
Wisconsin	vingt	374 821	5 895 908	6 357	8	28 691	deux	223	6	23 302	4	322 605	0	0
Wyoming	3	8 450	578 803	1 460	0	0	1	8 450	1	0	1	0	0	0

New York (80), le Texas (63), l'Illinois (57) et la Pennsylvanie (48) sont les quatre autres États les plus touchés. Cependant, comme ces États comptent tous parmi les États les plus peuplés des États-Unis, cela n’est peut-être pas vraiment une surprise.

En ce qui concerne le nombre de dossiers concernés, la situation change quelque peu.

La Virginie arrive en tête pour le nombre d'enregistrements affectés, représentant près de 65 % des enregistrements concernés dans tous les États (103 millions sur 151,7 millions d'enregistrements). Cependant, la plupart d’entre eux proviennent de la violation de données Capital One susmentionnée. Comme le siège social est situé en Virginie, les dossiers sont attribués à cet État, mais les résidents de partout aux États-Unis auront été affectés.

Néanmoins, même si nous ne tenons pas compte de la violation de Capital One, la Virginie se classerait toujours à la 5e place pour les enregistrements touchés, car 3 128 306 autres ont été touchés dans l’État.

La Californie enregistre le deuxième plus grand nombre de dossiers touchés, avec 8,7 millions de dossiers violés, suivie de près par l'Oregon (8,2 millions), le Texas (7,6 millions) et l'Alabama (5,8 millions).

La Géorgie, le Delaware, le Colorado, le Michigan et l’Illinois ont également enregistré des violations de plus d’un million d’enregistrements.

Il va sans dire que Virginia est à nouveau en tête du classement pour le nombre de dossiers touchés pour 100 000 habitants. Mais lorsque nous examinons les principaux États restants, nous avons commencé à voir quels États pourraient avoir été les plus touchés par les violations de données financières.

Le Delaware enregistre le deuxième plus grand nombre de violations d'enregistrements pour 100 000 habitants, avec 252 963 enregistrements. Viennent ensuite l'Oregon (193 302 enregistrements affectés pour 100 000 personnes) et l'Alabama (115 685 enregistrements affectés pour 100 000 personnes).

Ces quatre États étaient les seuls à avoir plus de 100 000 enregistrements concernés pour 100 000 habitants. Par exemple, le Colorado vient en deuxième position avec 39 103 dossiers affectés pour 100 000 habitants, ce qui montre combien de dossiers financiers ces États ont perdu en comparaison.

Méthodologie

Afin d'avoir une vue complète des violations de données financières survenues au cours des 4,5 dernières années, notre équipe a effectué des recherches dans les ressources du secteur, les outils de notification des violations de données des États et les sources d'information pour dresser une liste complète des violations de données remontant à 2018. .

Dans la mesure du possible, la violation est attribuée à l'année et au mois au cours desquels elle s'est produite. Par exemple, une violation peut avoir eu lieu en 2020 mais n’avoir été divulguée qu’en 2021. Nous l’attribuerions donc aux chiffres de 2020, car c’est à cette date que la violation s’est produite.

Chaque violation a été attribuée à un type de violation lorsque cela était possible. Bien souvent, suffisamment d'informations n'étaient pas divulguées sur la violation de données et la violation était alors classée comme étant inconnue.

Les compagnies d’assurance maladie n’ont pas été incluses dans ce rapport car nous les classons sous santé organisations dans nos autres rapports.

Chercheur de données :Charlotte Bond