Ryan Merchant, Senior Marketing Manager Diffusion immédiate press@dashlane.com 24 janvier 2014 (718) 419-4441 La protection des donne es personnelles sur les sites e-commerce : une illusion? Barome tre Dashlane sur la protection des donne es personnelles 1 er trimestre 2014 NEW YORK Aujourd hui, Dashlane annonce la première édition de son baromètre trimestriel sur la sécurisation des données personnelles. Les consommateurs communiquent de plus en plus leurs données personnelles, et notamment leurs informations bancaires, à un nombre grandissant de cybermarchands. Les clés qui protègent leurs données sont les mots de passe qu ils utilisent sur ces sites. Or, l utilisation de mots de passe faibles peut se révéler catastrophique pour la sécurité de leurs données. Dashlane a réalisé un classement des 100 plus gros sites de e-commerce en fonction de leur gestion des mots de passes et révèle des résultats inquiétants. Cette étude évalue la politique de gestion des mots de passe des 100 premiers sites de e-commerce américains en examinant 24 critères identifiés par Dashlane comme fondamentaux pour maintenir la sécurité en ligne. Un processus a été noté positivement quand il ajoute de la sécurité, et négativement quand il fait prendre des risques. Les notes s établissent entre 100 et -100. Principales conclusions : - 55% acceptent des mots de passe excessivement simples comme 123456 ou motdepasse 1-51% des sites ne bloquent pas l accès au compte après 10 saisies erronées de mots de passe (on peut citer les exemples d Amazon, Dell, Best Buy, Macy s et Williams-Sonoma) - 64% n ont pas mis en œuvre une politique prudente en matière de gestion de mots de passe (ces sites ont obtenu une note globale négative) - 61% ne conseillent pas les consommateurs pour les aider à créer un mot de passe fort à la création du compte, et 93% d entre eux n indiquent pas si le mot de passe choisi est fort et difficilement piratable - Seuls 10% obtiennent une note qui dépasse le seuil indiquant la mise en œuvre d une politique responsable en matière de mots de passe (soit 45 points et plus) - 8 sites, dont Toys R Us, J.Crew et 1-800-Flowers.com, envoient les mots de passe en clair par email Apple arrive en tête du classement. Il est le seul site de e-commerce à faire un sans-faute, tandis que Newegg, Microsoft, Chegg (classés 2 nd ), et Target se hissent dans le top 3. MLB.com, Karmaloop et Dick s Sporting Goods se retrouvent en bas du classement. Amazon, Walmart, Victoria s Secret et Toys R Us font également partie des sites les moins bien classés avec des notes inférieures ou égales à -35. Ces résultats sont troublants, particulièrement si l on prend en compte la multiplication des failles de sécurité chez des acteurs majeurs comme Starbucks. Ils révèlent que certains des plus grands sites de e-commerce américains
n ont pas mis en œuvre les solutions simples qui permettent pourtant de protéger les données personnelles de leurs utilisateurs. Des utilisateurs en danger Une politique faible en matière de mots de passe rend les données personnelles des utilisateurs vulnérables. En effet, plus votre mot de passe est faible, plus il est facile de pirater votre compte. Par conséquent, les sites qui ont une politique négligente en matière de mots de passe exposent leurs utilisateurs à de plus de risques. La majorité des sites acceptent dix des mots de passe les plus utilisés comme «123456», «111111» et même le mot «motdepasse 1». Dashlane a également découvert que 62% des sites n obligent pas leurs utilisateurs à utiliser au moins une lettre et un chiffre, et 73% acceptent des mots de passe de moins de 6 caractères. MLB accepte même le mot baseball comme mot de passe. En plus d accepter des mots de passe faibles, un grand nombre de sites de e-commerce ne bloquent pas l accès au compte après une succession d identifications erronées. Ainsi, de nombreux sites comme Amazon et Dell n empêchent pas les tentatives répétées même après 10 saisies erronées de mots de passe. L une des méthodes les plus faciles qu utilisent les hackers pour pirater un compte est la saisie automatisée de mots de passe fréquemment utilisés. Restreindre l accès au compte après un certain nombre de saisies incorrectes est un moyen simple de contrer cette attaque. Quand les deux failles cités ci-dessus s additionnent, cela devient très aisé pour les pirates d accéder à de nombreux comptes car ils peuvent tester indéfiniment les mots de passe les plus utilisés sans être bloqués. D autre part, l une des pratiques les plus dangereuses consiste à envoyer les mots de passe en clair dans les mails. Heureusement, cette pratique ne prédomine pas mais l étude démontre que plusieurs sites parmi lesquels Toys R Us, J.Crew et 1-800-Flowers.com, continuent d adresser à leurs utilisateurs des mails contenant leur mot de passe en clair. La solution est simple Pour rendre leurs politiques en matière de mots de passe plus sécurisée s, Dashlane recommande aux sites de e- commerce de suivre des principes simples : Exiger que les mots de passe contiennent au moins 8 caractères, une minuscule, une majuscule, un chiffre et un symbole Bloquer l accès au compte après 4 saisies erronées de mots de passe Conseiller les utilisateurs pour les aider à choisir un mot de passe fort à la création du compte Afficher une information sur la force du mot de passe choisi lors de la création du compte Toutes ces solutions peuvent être mises en place très rapidement et à moindre coût grâce à des technologies en accès libre déjà existantes. Certains sites du top 100, comme Williams-Sonoma, Chegg, et CDW ont déjà mis en place de telles pratiques. Certains cybermarchands peuvent rétorquer que de telles exigences entravent le confort des utilisateurs, mais des entreprises comme Apple, sans doute la marque la plus connue de la liste, démontre qu il est possible de combiner sécurité et réussite commerciale Parmi tous les critères testés, Apple a mis en place les 4 principes que nous recommandons plus haut. Cette pratique fait de cette entreprise la seule à faire un sans-faute.
Target, Nike et Microsoft ont également obtenu une note élevée puisqu ils imposent à leurs utilisateurs de choisir un mot de passe sécurisé qui contient une lettre, un chiffre, une majuscule et une minuscule. Les résultats complets de l étude : http://www.prweb.com/releases/2014/01/prweb11518688.htm
Les 10 meilleurs Les 10 moins bons Site Note Site Note Apple 100 MLB -75 Newegg 65 Karmaloop -70 Microsoft 65 Dick's Sporting Goods -65 Chegg 65 Toys R Us -60 Target 60 Aeropostale -60 Williams-Sonoma 55 J. Crew -55 CDW 50 Vitacost -50 Amway 45 Nutrisystem -50 Musician's Friend 45 American Girl -50 Nike 45 1-800-Flowers.com -46 Mots de passe simples les plus utilisés acceptés par les sites de e-commerce Sites e-commerce les plus connus qui ne bloquent pas l accès au compte après 10 saisies erronées Mot de passe % de sites qui acceptent Amazon password 58% Dell 123456 55% Best Buy 12345678 57% Macy's abc123 70% Williams-Sonoma qwerty 58% HSN monkey 59% LL Bean letmein 59% Toys "R" Us dragon 59% Overstock 111111 55% Vistaprint baseball 62% Sites les plus connus ayant obtenu une note inférieure ou égale à -30 Amazon Macy s Ralph Lauren Victoria s Secret Groupon Barnes & Noble Walmart Hulu Overstock Office Depot Disney Sites les plus connus ayant obtenu une note supérieure à 30 Apple Williams-Sonoma Nike Best Buy Walgreen s Microsoft Target Abercrombie & Fitch CVS Bass Pro Outdoor
METHODOLOGIE L étude a été réalisée par Dashlane du 17 au 22 janvier 2014. Les 100 premiers sites de e-commerce ont été choisi d après le guide Internet Retailer s 2013 Top 500 eguide. Dashlane a exclu les sites qui conditionnent la création d un compte à un achat ou à un paiement. A PROPOS DE DASHLANE : A propos de Dashlane Dashlane est une solution gratuite pour le grand public permettant de résoudre le problème des mots de passe sur Internet utilisée par 1,4 millions de personnes dans le monde. Son application multiplateforme (PC, smartphone, tablette) permet de stocker, générer et réutiliser les mots de passe en un clic partout sur internet, tout en les protégeant avec un mot de passe maître que l utilisateur est seul à connaître. Dashlane facilite les activités courantes comme la connexion à des sites, la création de nouveaux comptes ainsi que les achats sur Internet. Dashlane est une start-up française installée à Paris et New York et dirigée par Emmanuel Schalit. Fondée en en 2009 en France par Bernard Liautaud, Alexis Fogel, Guillaume Maron et Jean Guillou, Dashlane a procédé à une levée de fonds de 9 millions de dollars auprès des fonds de Capital Risque Rho Ventures et FirstMark Capital aux Etats-Unis en 2011. Pour plus d informations : www.dashlane.com ###