L’autorité espagnole de protection des données a publié une décision de sanction à l’encontre de BANCO INVERSIS, S.A., comprenant le prononcé d’une amende de 6 000 € pour des manquements liés à une violation de données personnelles résultant d’un incident de sécurité.

Cette affaire débute par plusieurs réclamations déposées entre novembre et décembre 2023, signalant des accès non autorisés à des données personnelles de clients d’INDEXA CAPITAL et d’autres parties, suite à un cyberattaque affectant BANCO INVERSIS ayant affecté 2 millions de personnes. La violation a été détectée le 30 octobre 2023 et notifiée à l’autorité le 10 novembre 2023.

L’enquête menée par l’autorité a permis de constater :
* Violation du principe de confidentialité et d’intégrité des données (article 5.1.f) du RGPD) : Un accès non autorisé a été réalisé via un service web de consultation des positions d’investissement des clients, exploité par un tiers utilisant des identifiants compromis d’un utilisateur authentifié. Cette faille a permis l’accès à des données personnelles sensibles, notamment nom, prénom, date de naissance, numéro d’identification (DNI/NIE/Passeport) et domicile fiscal, affectant environ 45 000 clients finaux et jusqu’à 2 millions de personnes dans les bases de données institutionnelles. L’incident, prolongé du 1er au 28 novembre 2023, a exposé les données à un risque accru d’usurpation d’identité, de fraude et d’atteinte aux droits des personnes concernées.

* Manquements dans la sécurité des accès (article 32 du RPGD): Sans toutefois retenir de manquement, l'autorité note que l'attaque a été facilitée par une configuration de sécurité insuffisante, notamment une exemption temporaire de 90 jours dans le processus d’authentification renforcée par OTP (mot de passe à usage unique), qui n’a pas été demandée lors de la connexion compromise. Le système d’authentification reposait sur un LDAP avec validation utilisateur/mot de passe et OTP, mais la faille a permis un accès abusif via un paramètre technique exploité par l’attaquant. BANCO INVERSIS agissait en tant que responsable ou sous-traitant selon les cas, avec des contrats précisant les obligations de sécurité et de notification des violations. La société a mis en place un comité de crise et a communiqué la violation aux clients et partenaires, ainsi qu’à l’autorité. Des mesures correctrices et des audits de sécurité ont été réalisés avant et après l’incident.

En conséquence, la structure s’est vue sanctionner d’une amende administrative initiale de 10 000 €, réduite à 6 000 € après reconnaissance de responsabilité et paiement volontaire, conformément aux dispositions légales permettant une réduction cumulée de 40 %.