Un vol massif de données ébranle la banque privée de Morgan Stanley

Comment un collaborateur isolé a-t-il pu dérober plusieurs centaines de milliers de données confidentielles de clients ? C’est la question à laquelle veut répondre Morgan Stanley après la découverte sur un site internet d'éléments portant sur 350.000 clients, soit 10% de sa clientèle de banque privée. Le FBI est chargé de l’enquête et les autorités de régulation ont été alertées. Dans un communiqué publié lundi, la banque de Wall Street fait état du licenciement d’un employé de la division. Il s’agit de Galen Marsh, un conseiller financier de 30 ans.

Son avocat Robert Gottlieb affirme que son client n’a pas publié les informations en ligne, pas plus qu’il n’a cherché à en tirer profit. «Les données dérobées n’incluent pas des mots de passe ou des numéros de sécurité sociale», précise Morgan Stanley, qui ajoute ne pas détenir de preuve d’une quelconque perte économique pour les clients. Les données partielles d’environ 900 clients (noms et numéros de comptes) ont été «brièvement» exposées sur le réseau. D’après le Wall Street Journal (WSJ), c’est lors d’un contrôle de routine mené fin décembre que Morgan Stanley a découvert ces éléments sur Pastebin, un site de partage de fichiers déjà impliqué lors de l’attaque contre Sony Pictures.

La banque privée de Morgan Stanley, numéro deux aux Etats-Unis derrière Merrill Lynch, fait office de locomotive pour le groupe. Les revenus de la division, qui comprend une équipe de plus de 16.000 conseillers financiers, ont grimpé de près de 9% au troisième trimestre, à 3,79 milliards de dollars. Si l’affaire est désastreuse en terme d’image, elle ne constitue toutefois pas le vol de données le plus important de ces derniers mois.

L'été dernier, JPMorgan a été la cible d’une attaque informatique qui a compromis les données d’environ 76 millions de particuliers américains. L’intrusion, du fait de pirates informatiques extérieurs à l'établissement, a également porté sur des données de contact. Même si elles présentent peu d’intérêt immédiat, ces données constituent une bonne porte d’entrée afin d’obtenir davantage d’informations sur un client fortuné. Selon le PDG de la société de cybersécurité eSentire, cité par le WSJ, le risque est plus grand dans la banque privée, des demandes de transactions étant parfois formulées par email.