BreachTrace avertit depuis longtemps les lecteurs de planter votre propre drapeau sur le portail en ligne ma Sécurité Sociale du Administration de la sécurité sociale des États-Unis (SSA) – même si vous ne recevez pas encore de prestations de l’agence – parce que les voleurs d’identité ont enregistré des comptes au nom des gens et siphonné les fonds de retraite et/ou d’invalidité. C’est l’histoire d’un couple du Midwest qui a pris toutes les précautions nécessaires et qui a quand même été touché par des voleurs d’identité qui se sont fait passer pour eux directement par téléphone auprès de la SSA.
À la mi-décembre 2017, cet auteur a entendu de Ed Eckensteinun lecteur de longue date dans l’Oklahoma dont la femme Ruth venait de recevoir une lettre par courrier postal de la SSA concernant une demande réussie de retrait des prestations. La lettre confirmait qu’elle avait demandé un transfert unique de plus de 11 000 $ de son compte SSA. Le couple a dit qu’il était perplexe car tous deux avaient suivi mes conseils et enregistré des comptes auprès de MySocialSecurity, même si Ruth n’avait pas encore choisi de commencer à recevoir des prestations SSA.
Le paiement unique frauduleux que les escrocs ont tenté de siphonner du compte de sécurité sociale de Ruth Eckenstein.
Effectivement, lorsque Ruth s’est connectée à son compte MySocialSecurity en ligne, il y avait un retrait en attente de 11 665 $ destiné à être déposé dans un Compte de carte de débit prépayée Point Vert (les fonds déposés sur une carte Green Dot peuvent être dépensés comme de l’argent dans n’importe quel magasin acceptant les cartes de crédit ou de débit). Le montant de 11 655 $ était disponible pour un transfert unique, car il était destiné à couvrir rétroactivement les paiements de retraite mensuels jusqu’à son 65e anniversaire.
La lettre que les Eckenstein ont reçue de la SSA indiquait que les prestations avaient été demandées par téléphone, ce qui signifie que le ou les escrocs avaient appelé la SSA en se faisant passer pour Ruth et leur avaient fourni suffisamment d’informations à son sujet pour l’inscrire afin de commencer à recevoir des prestations. Ed a déclaré que lui et sa femme avaient immédiatement appelé la SSA pour les informer d’une inscription frauduleuse et d’un retrait en attente, et qu’ils avaient reçu l’ordre de se présenter en personne dans un bureau de la SSA à Oklahoma City.
La SSA a finalement suspendu le transfert frauduleux de 11 665 $, mais Ed a déclaré qu’il avait fallu plus de quatre heures au bureau de la SSA pour tout régler. M. Eckenstein a déclaré que l’agence les avait également informés que les voleurs avaient inscrit sa femme pour des prestations d’invalidité. De plus, son profil à la SSA avait été modifié pour inclure un numéro de téléphone dans l’indicatif régional 786 (Miami, Floride).
« Ils n’ont pas changé l’adresse physique, pensant peut-être que cela déclencherait l’envoi d’une lettre », a expliqué Ed.
Heureusement, la SSA a quand même envoyé une lettre. Ed a déclaré que de nombreuses heures supplémentaires passées à rechercher la question avec le personnel de la SSA ont révélé que pour ouvrir la demande de prestations de retraite de Ruth, les voleurs devaient fournir à la SSA une courte liste d’identifiants statiques à son sujet, y compris son anniversaire, lieu de naissance, nom de jeune fille de la mère, adresse actuelle et numéro de téléphone.
Malheureusement, la plupart (sinon la totalité) de ces données sont disponibles gratuitement en ligne sur une large bande de la population américaine (pensez à Zillow, Ancestry.com, Facebook, etc.) ou bien en vente dans le milieu de la cybercriminalité pour environ le coût de un café au lait chez Starbucks.
Les Eckenstein pensaient que l’affaire avait été résolue jusqu’au 14 janvier, lorsque Ruth a reçu un formulaire 1099 de la SSA indiquant qu’ils avaient signalé à l’IRS qu’elle avait en fait reçu un paiement de 11 665 $.
« Nous avons envoyé un e-mail à notre fiscaliste pour obtenir des conseils sur la façon de gérer cela sur nos impôts », a écrit M. Eckenstein dans un e-mail à BreachTrace. « Ma femme s’est connectée au portail SSA et il y avait une note indiquant que les 1099 corrigés/mis à jour seraient disponibles à la fin du mois. Elle ne sait pas si ce message lui était spécifique ou si tout le monde le voit.
PAS PETIT SI ÇA VOUS ARRIVE
Les voleurs d’identité exploitent les faiblesses de l’authentification pour détourner les fonds des comptes de retraite presque depuis que la SSA a lancé son portail il y a huit ans. Mais le crime a vraiment repris en 2013, à peu près au même moment où BreachTrace a commencé à avertir les lecteurs d’enregistrer leurs propres comptes sur le portail MySSA. Cette hausse a coïncidé avec une décision du Trésor américain de commencer à exiger que tous les bénéficiaires reçoivent des paiements par dépôt direct (bien que la SSA indique que des chèques papier sont toujours disponibles pour certains bénéficiaires dans des circonstances limitées).
Plus de 34 millions d’Américains font désormais des affaires en ligne avec la Social Security Administration (SSA). UNE histoire cette semaine de Reuters dit que la SSA ne suit pas les données sur la prévalence du vol d’identité. Néanmoins, l’agence a assuré au média que ses efforts anti-fraude ont rendu le problème « très rare ».
Mais Reuters note qu’une enquête menée en 2015 par le Bureau de l’inspecteur général de la SSA a identifié plus de 30 000 enregistrements MySSA suspects et plus de 58 000 allégations de fraude liées aux comptes MySSA de février 2013 à février 2016.
« Ces chiffres sont faibles dans le contexte de l’activité globale de MySSA – mais cela ne semblera pas petit si cela vous arrive », écrit Marc Miller pour Reuters.
La SSA n’a pas encore répondu à une demande de commentaire.
Malgré l’expérience d’Ed et Ruth, c’est toujours une bonne idée de créer un compte MySSA — surtout si vous ou votre conjoint serez bientôt en droit de retirer des prestations. L’agence a tenté de renforcer l’authentification en ligne pour les citoyens se connectant à son portail MySSA. L’été dernier, la SSA a commencé à exiger que tous les utilisateurs saisissent un nom d’utilisateur et un mot de passe en plus d’un code de sécurité à usage unique envoyé par e-mail ou par téléphone, bien que, comme indiqué précédemment ici, le processus d’authentification pourrait être beaucoup plus robuste.
L’histoire de Reuters rappelle aux lecteurs d’utiliser périodiquement le portail MySSA pour s’assurer que vos informations personnelles – telles que la date de naissance et l’adresse postale – sont correctes. « Pour les bénéficiaires actuels, si vous remarquez qu’un paiement mensuel n’est pas arrivé, vous devez en informer immédiatement la SSA via la ligne sans frais de l’agence (1-800-772-1213) ou à votre bureau local », a conseillé Miller. « Dans la plupart des cas, la SSA vous rendra entier si le vol est signalé rapidement. »
Une autre option consiste à utiliser les « Bloquer l’accès électronique« , qui bloque tout accès téléphonique ou en ligne automatique à votre dossier de sécurité sociale – y compris par vous (bien qu’il ne soit pas clair si le blocage de l’accès de cette manière aurait arrêté les voleurs d’identité qui parviennent à parler avec un représentant de la SSA en direct). Pour rétablir l’accès électronique, vous devrez contacter l’administration de la sécurité sociale et fournir une preuve de votre identité.