Fuite de données chez Blooms Today

Les catégories de données réunies dans le cas de Blooms Today sont les adresses e-mail, les noms complets, les informations partielles sur les cartes de paiement, les numéros de téléphone et les adresses postales. Les adresses e-mail peuvent servir à mener des campagnes d’hameçonnage ciblées, à tenter des manœuvres frauduleuses de réinitialisation de mot de passe et à établir des correspondances entre des comptes sur différents services. Les noms complets rendent plus crédibles les messages de faux services d’assistance ou de livraison, les fausses factures et les messages usurpant le service client. Les informations partielles sur les cartes de paiement ne suffisent pas, à elles seules, à effectuer des achats, mais elles peuvent renforcer la crédibilité de fraudes commises sous prétexte de vérifier une carte. Les numéros de téléphone permettent de mettre en place des scénarios de fraude personnalisés par SMS, par appel ou via des applications de messagerie. Les adresses postales peuvent être utilisées dans des messages d’ingénierie sociale ayant pour thème la livraison, la facturation, les abonnements ou les services de proximité.

Les commandes de fleurs et de cadeaux comportant souvent une adresse de livraison et des informations sur le destinataire, des attaquants peuvent contacter l’utilisateur sous prétexte de traiter une commande personnelle ou une livraison. Les informations partielles sur la carte peuvent servir à instaurer un sentiment de confiance; l’utilisateur peut alors être invité à fournir le numéro complet de sa carte, un code de vérification ou de nouvelles informations de paiement.

Cette fiche est associée au nom de domaine bloomstoday.com, à des données clients allant jusqu’à novembre 2023 et à environ 3,2 millions d’adresses e-mail uniques. Le numéro complet de la carte et les données suffisantes pour effectuer des transactions avec celle-ci ne figurent pas parmi les champs vérifiés; la description doit se limiter aux informations partielles sur les cartes de paiement.

Les champs absents de ce jeu de données ne doivent pas être présentés comme ayant été divulgués. Les éléments tels que les numéros complets de carte, les mots de passe des comptes, les pièces d’identité officielles, les messages privés, le contenu des appareils ou les informations de santé ne doivent être inclus dans l’évaluation des risques que s’ils sont explicitement présents dans le jeu de données. Le texte repose sur les catégories de données vérifiables et les limites connues de l’incident.

Les clients qui passent commande sur Blooms Today, les personnes qui utilisent différentes adresses de destinataires pour envoyer des cadeaux, les utilisateurs qui enregistrent leur numéro de téléphone et leur adresse dans leur compte de commande, ainsi que les personnes susceptibles de se laisser convaincre par un appel prétendument émis par le service client et s’appuyant sur des informations partielles de carte, sont davantage exposés.

Les utilisateurs qui emploient la même adresse e-mail sur différents services, réutilisent d’anciens mots de passe et communiquent leur numéro de téléphone et leur adresse sur de nombreux comptes de sites marchands ou communautaires sont davantage exposés. Le rapprochement entre un pseudonyme et une identité réelle dans des comptes professionnels ou communautaires peut créer des risques supplémentaires d’ingénierie sociale.

Les utilisateurs doivent vérifier si le mot de passe de leur compte Blooms Today est réutilisé ailleurs et faire confirmer, par le canal officiel, tout message inattendu concernant une commande, une livraison, un retour ou une vérification de carte. Il convient de surveiller les opérations bancaires et de ne jamais communiquer les informations complètes d’une carte ou des codes de vérification à usage unique par téléphone ou par e-mail.

Les utilisateurs pour lesquels une correspondance a été trouvée doivent modifier les mots de passe des comptes où ils utilisent un mot de passe identique ou similaire, activer l’authentification à deux facteurs lorsque cela est possible et vérifier les sessions récentes. Lorsque les données contiennent des numéros de téléphone, des adresses, des informations de paiement ou des informations sensibles liées à des communautés, il convient de se méfier des appels inattendus et des messages inattendus concernant une livraison, un retour, une demande d’assistance ou une vérification.

À long terme, prendre l’habitude d’utiliser un gestionnaire de mots de passe, des mots de passe uniques et l’authentification à deux facteurs, ainsi que de supprimer les informations personnelles inutiles des comptes, réduit les risques. Réutiliser la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de plusieurs fuites; l’utilisation d’une adresse e-mail distincte ou d’un alias pour les comptes critiques peut être envisagée.

Les anciennes adresses, les numéros de téléphone enregistrés et les informations de paiement inutiles doivent être régulièrement supprimés des comptes de sites marchands. Pour vérifier les notifications de livraison et de paiement, les utilisateurs doivent passer uniquement par le site officiel ou l’application de leur banque. Ils doivent également garder à l’esprit que la connaissance d’informations partielles sur une carte ne prouve pas qu’un interlocuteur appartient réellement au service client.

La vérification LeakData indique si l’adresse e-mail recherchée figure dans ce jeu de données. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur; il constitue toutefois un avertissement suffisant pour prendre des précautions. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas une présence dans d’autres fuites.

Un résultat positif indique que l’adresse e-mail apparaît dans les données clients de Blooms Today. Ces données comprenant des informations partielles de paiement et des informations de livraison, l’utilisateur doit être vigilant tant à l’égard du mot de passe de son compte que de la sécurité de ses opérations bancaires et de ses commandes.