Wynn Resorts confirme le vol de données de salariés

Ce qui s’est passé

Wynn Resorts a confirmé qu’un tiers non autorisé avait obtenu des données concernant ses salariés. L’entreprise a ouvert une enquête avec des spécialistes externes et a précisé que l’incident n’avait affecté ni l’expérience client ni les activités sur site de ses établissements.

Ce cas s’inscrit dans une tendance récurrente en matière d’incidents de sécurité: les systèmes de ressources humaines et de gestion interne, moins médiatisés que les plateformes destinées aux clients, contiennent des données tout aussi sensibles.

Les enseignements pour une entreprise de taille moyenne

Les données des salariés —bulletins de paie, contrats, données d’identification, coordonnées bancaires— sont très utiles pour commettre des fraudes, usurper des identités et mener des attaques ultérieures comme le phishing ciblé. Un attaquant disposant de ces informations peut se faire passer de manière crédible pour un collègue ou un membre des ressources humaines.

De nombreuses organisations concentrent leurs efforts de sécurité sur les systèmes destinés aux clients et négligent les plateformes internes de ressources humaines, de paie ou de gestion documentaire, dont les contrôles d’accès sont souvent moins stricts.

Les points à vérifier

Vérifications applicables à tout système de ressources humaines ou de gestion du personnel:

• Qui a accès aux données des salariés et si cet accès est limité au strict nécessaire.
• Si le prestataire de paie ou de ressources humaines impose une authentification à deux facteurs.
• Comment et pendant combien de temps les données des anciens employés sont conservées.
• Si un plan de communication auprès des employés est prévu en cas de compromission de leurs données.

Questions fréquentes

¿L’incident a-t-il touché les clients de Wynn Resorts?

Selon l’entreprise, non. L’impact s’est limité aux données des employés et n’a affecté ni l’expérience client ni les opérations sur site.

¿Pourquoi les données des employés sont-elles précieuses pour un attaquant?

Parce qu’elles permettent de commettre des fraudes, d’usurper des identités et de mener des attaques de phishing ciblées en leur donnant une apparence légitime.

¿Quelle mesure est la plus efficace pour protéger ces systèmes?

Imposer une authentification à deux facteurs et limiter l’accès aux données RH aux personnes qui en ont réellement besoin.