Yahoo devra faire face aux plaintes déposées dans le sillage des fuites massives de données. L’entreprise, depuis rachetée par Verizon, affrontera ainsi plusieurs actions collectives qu’elle souhaitait faire annuler. La juge Lucy Koh en a décidé autrement.

Au tribunal de San Jose en Californie, la juge Lucy Koh – connue notamment pour avoir arbitré de longues procédures entre Apple et Samsung – a validé plusieurs class actions dirigées contre Yahoo. Elles portent toutes sur les immenses fuites de données personnelles des dernières années. Pour la société, ces plaintes n’avaient pas de base légale. Pour la juge Koh, c’est tout le contraire.

Un risque avéré de vol d'identité

« Tous les plaignants encourent le risque d’un futur vol d’identité » a ainsi noté la juge dans sa décision, tout en pointant une perte de valeur pour leurs « informations personnelles d’identification ». Certaines victimes ont indiqué avoir subi des vols subséquents d’informations, d’autres avoir payé des services de protection d’identité en ligne.

La juge a cependant rejeté une partie des plaintes, tout en laissant les victimes modifier leur dossier avant que l’affrontement ne commence. Tout ce qui touche aux lois Stored Communications Act (manque de mesures appropriées pour protéger les données), California Online Privacy Protection Act (pas de droit aux actions privées en justice) et California Customer Records Act (pour les plaignants ne résidant pas en Californie) doit être extirpé de la plainte consolidée, comme le note Bloomberg.

Une information escargot aux utilisateurs

L’un des principaux points remarqués par la juge reste l’important délai entre la constatation des fuites en interne et leur confirmation auprès du public. Pour Lucy Koh, Yahoo avait toutes les cartes en main pour prévenir les utilisateurs bien plus tôt. Une partie au moins d’entre eux auraient pu ainsi changer leur mot de passe ou supprimer leur compte avant que d’autres fuites ne soient constatées.

La chronologie des évènements ne jouait pas en faveur de l’entreprise. À ce jour, on connait ainsi trois fuites de données : une première en août 2013 sur plus d’un milliard de comptes, une deuxième en 2014 sur plus de 500 millions de comptes et une dernière s’étant étalée sur 2015 et 2016, sans chiffres précis sur le nombre de victimes. À chaque fois, Yahoo n’a communiqué que sur le tard, plus de deux ans après pour la première.

Des conséquences prévisibles

Comme le rapporte Reuters, la nouvelle a été accueillie comme une victoire du côté des plaignants. L’un des avocats, John Yanchunis, rappelle qu’il s’agissait « de la plus grande fuite de données de l’histoire » et que ce combat profitera aux consommateurs. Il prend note également des critiques formulées par la juge Koh.

Les recours collectifs étaient évidemment à prévoir. Les fuites ont été très largement couvertes par les médias et le comportement de Yahoo était loin d’être exemplaire dans pareil cas. Des révélations successives avaient déjà conduit Verizon à baisser sa proposition de rachat de 350 millions de dollars, pour un total de 4,48 milliards en juin dernier. Un porte-parole de Verizon, Bob Varettoni, a d’ailleurs indiqué qu’aucun commentaire ne serait fait durant la procédure.

Ces fuites ont été autant d’occasions de s’interroger sur les deux versants principaux de la sécurité des données. Celle contrôlée par le prestataire de service, percée dans le cas de Yahoo par des moyens détournés. Mais l’utilisateur doit veiller également à prendre toutes les précautions, en activant quand c’est possible la double-authentification et surtout en choisissant des mots de passe forts et différents pour chaque service. En cas de vol des identifiants, ils ne peuvent pas alors être réutilisés sur d’autres sites.