Quels chiffres d'un document sont les plus dangereux en cas de fuite ?

Tous les chiffres d'un document ne présentent pas le même risque en cas de fuite. Un numéro de carte volé peut servir à un paiement en quelques minutes. Un numéro de sécurité sociale volé peut alimenter une usurpation d'identité pendant des années. Ce guide classe les identifiants courants selon ce qu'un fraudeur peut vraiment en faire, à partir de sources officielles, pour savoir quoi masquer en premier quand le temps manque.

Quels chiffres un fraudeur peut-il vraiment utiliser ?

Certains chiffres ouvrent un compte en banque. D'autres ouvrent un dossier pénal à votre nom. Le risque dépend de ce que le chiffre permet de faire, pas de son apparence officielle. Un numéro d'adhérent a l'air sérieux mais ne sert à rien seul. Un numéro de carte avec son code de sécurité peut faire bouger de l'argent le jour même.

Quels chiffres présentent le plus grand danger ?

Un numéro de carte complet avec son code de sécurité est le plus rapide à exploiter. Ensemble, ils suffisent pour un paiement en ligne, sans carte physique. C'est pourquoi les tickets de caisse masquent l'essentiel du numéro, mais un document qui fuite avec les deux ensemble supprime cette protection.

Un numéro de sécurité sociale ou de carte d'identité fonctionne autrement. Il ne fait pas bouger d'argent seul, mais une identité usurpée sert, selon la CNIL, à souscrire un crédit ou un abonnement au nom de la victime. Le dommage apparaît souvent des mois plus tard, ce qui complique la réparation.

Pourquoi un masquage partiel fonctionne pour une carte bancaire mais pas pour un passeport ?

Le secteur du paiement a une réponse officielle pour les cartes. Le PCI Security Standards Council, qui fixe les règles des banques et des commerçants, retient les six premiers et les quatre derniers chiffres comme repère de départ pour un numéro de carte affiché, le reste restant caché. Ces chiffres seuls ne permettent pas de finaliser un paiement.

• Un passeport, un permis de conduire ou un numéro de carte d'identité n'a pas d'équivalent officiel pour un affichage partiel : par défaut, mieux vaut le masquer entièrement.
• Un IBAN est fait pour être communiqué afin de recevoir un paiement, mais un document qui porte aussi votre nom et votre adresse transforme un chiffre sans danger en trois éléments qu'un fraudeur a besoin de réunir.
• Une date de naissance n'est faite que de trois éléments courts : cacher l'un des trois, jour, mois ou année, laisse les deux autres, avec le nom, faire l'essentiel du travail.

Quelles combinaisons multiplient le risque ?

Un chiffre voyage rarement seul dans un vrai document. Au Royaume-Uni, l'Information Commissioner's Office (ICO) cite le nom, la date de naissance et l'adresse comme les renseignements personnels que les fraudeurs volent pour usurper une identité et ouvrir des comptes. Aucun des trois n'est secret pris seul. Ensemble, ils suffisent souvent à passer une vérification d'identité.

Claire Exemple demande un prêt pour sa petite entreprise et joint un bulletin de salaire scanné pour prouver ses revenus. Le bulletin affiche déjà son nom et sa date de naissance en en-tête. Si elle laisse aussi son adresse visible en bas de page, le lecteur a désormais les trois éléments qu'une vérification d'identité bancaire demande habituellement.

Que masquer en premier quand vous n'avez que cinq minutes ?

1. 1Tout numéro de carte affiché avec son code de sécurité ou sa date d'expiration.
2. 2Tout numéro de sécurité sociale, de carte d'identité, de passeport ou de permis.
3. 3L'IBAN ou les numéros de compte bancaire, surtout à côté de votre nom et de votre adresse.
4. 4La date de naissance, si le nom et l'adresse sont aussi visibles.
5. 5Tout le reste : téléphones, e-mails et numéros de référence, une fois les quatre premiers traités.

Un outil de masquage peut appliquer cet ordre automatiquement. ONYRI Sanitize s'exécute dans le navigateur et repère les numéros de carte vérifiés par l'algorithme de Luhn, les IBAN, les numéros de sécurité sociale et de carte d'identité selon les pays couverts, les dates et les numéros de téléphone, puis les retire avant que le fichier ne quitte votre appareil. Sa limite : la détection n'est pas exhaustive, et il masque chaque valeur entièrement plutôt que de garder les quatre derniers chiffres.

Quel que soit l'outil utilisé, la règle de fond reste la même. Classez les chiffres devant vous selon ce qu'ils permettent de faire, pas selon leur longueur ou leur apparence officielle, et masquez en premier ceux qui permettent d'usurper votre identité ou de dépenser votre argent.