Fuite de données chez Bonobos

Les champs vérifiés dans la fiche Bonobos sont très variés : adresses e-mail, noms, adresses IP, numéros de téléphone, adresses postales, historique des achats, informations partielles de cartes de crédit, mots de passe et anciens mots de passe. Les données partielles de cartes peuvent comprendre des informations de paiement telles que le type de carte, le nom figurant sur la carte, la date d’expiration et les quatre derniers chiffres. Ces champs ne remplacent pas le numéro complet de la carte, mais ils peuvent servir à rendre des messages d’hameçonnage plus convaincants.

Lorsque l’historique des achats et les coordonnées postales sont réunis, il devient plus facile de créer de faux messages d’expédition, de retour, de facturation, de promotion ou de vérification de compte adaptés à l’utilisateur. Le stockage des mots de passe sous forme d’empreintes de hachage SHA-512 avec salage constitue une protection importante. Le risque subsiste toutefois lorsque des mots de passe anciens ou réutilisés sont recoupés avec d’autres jeux de données. La présence d’anciens mots de passe est également importante, car elle peut révéler les schémas de construction des mots de passe précédemment utilisés.

Le périmètre vérifié pour cette fiche est de 2 811 929 adresses e-mail uniques. Les catégories de données répertoriées sont les adresses e-mail, les anciens mots de passe, les adresses IP, les noms, les données partielles de cartes de crédit, les mots de passe, les numéros de téléphone, les adresses postales et les informations d’achat. Les numéros complets de cartes de crédit, les codes de sécurité des cartes et les informations de comptes bancaires ne font pas partie des champs vérifiés pour cette fiche. Cette distinction doit être maintenue, aussi bien pour éviter de minimiser le risque que pour éviter de l’exagérer en y incluant des champs non vérifiés.

L’incident concerne les données clients de Bonobos. Il ne faut pas en déduire automatiquement que d’autres enseignes appartenant au même groupe ont également subi une fuite. Le chiffre indiqué dans la fiche mesure l’ampleur de l’incident en nombre d’adresses e-mail uniques; le décompte des lignes de commande, des enregistrements de cartes ou des adresses peut donner des résultats différents. L’impact principal présenté à l’utilisateur doit être évalué à partir du nombre vérifié de comptes uniques et des catégories de données répertoriées.

Les clients les plus exposés au risque sont ceux qui possèdent un compte Bonobos, ont déjà effectué des achats et ont utilisé le même mot de passe sur d’autres comptes de commerce en ligne ou de messagerie. Les utilisateurs dont l’adresse, le numéro de téléphone et l’historique des commandes figurent dans les données peuvent être ciblés par de faux messages de livraison, de retour, de mise à jour des informations de paiement ou de service client. Les informations partielles de cartes peuvent fournir aux attaquants des détails qui renforcent l’impression que l’utilisateur est bien un client de Bonobos.

Du fait de la présence de champs contenant d’anciens mots de passe, le risque concerne non seulement le mot de passe utilisé au moment de la fuite, mais aussi les schémas de construction des mots de passe précédents. Si vous pensez avoir conservé votre ancien mot de passe sur d’autres comptes en n’y apportant que de légères modifications, mettez à jour ces comptes en priorité. Les comptes de messagerie, les sites marchands, les services de paiement, les comptes auprès de services de livraison et les comptes de réseaux sociaux peuvent notamment être directement affectés par ces combinaisons de données.

Si une correspondance vous concernant apparaît dans cette fiche, commencez par changer le mot de passe de votre compte Bonobos et de tout autre compte sur lequel le même mot de passe a pu être utilisé. À l’aide d’un gestionnaire de mots de passe, créez pour chaque compte un mot de passe unique, long et difficile à deviner. Comme vos anciens mots de passe ont également pu être exposés, ne revenez pas à d’anciens schémas de construction et n’utilisez pas de variantes similaires. Protégez en priorité vos comptes de messagerie et vos comptes liés aux paiements.

Méfiez-vous des fausses notifications d’expédition, des formulaires de retour, des demandes de vérification de paiement ou de mise à jour de carte, ainsi que des messages proposant des remises spéciales. Au lieu de vous connecter par les liens reçus, accédez directement au service concerné. N’ouvrez pas les pièces jointes inattendues et surveillez régulièrement les opérations effectuées avec votre carte. Si votre banque ou l’émetteur de votre carte propose des alertes pour les opérations inhabituelles, activez-les. L’authentification à deux facteurs apporte une protection supplémentaire aux comptes sensibles.

L’incident Bonobos montre que les comptes de commerce en ligne ne servent pas seulement à faciliter les achats : ils constituent aussi un profil riche en données personnelles. Vérifiez régulièrement les adresses, les données liées aux paiements et les informations sur les anciennes commandes conservées dans vos comptes clients. Fermez les comptes que vous n’utilisez plus, supprimez si possible les moyens de paiement enregistrés et limitez les adresses de livraison à celles dont vous avez actuellement besoin. L’utilisation de la même adresse e-mail sur tous les sites marchands peut également accroître le risque d’hameçonnage ciblé.

Du point de vue de la sécurité des entreprises, la protection des données du commerce de détail doit couvrir conjointement la gestion des sauvegardes, le contrôle des accès, le stockage des mots de passe, la segmentation des données de paiement et les procédures de signalement des incidents. Du côté des utilisateurs, il convient de combiner des mots de passe uniques, l’authentification multifacteur, la surveillance des opérations par carte et un nettoyage régulier des comptes. Même si les empreintes de hachage des mots de passe sont robustes, la combinaison des coordonnées et des données d’achat entretient durablement le risque d’ingénierie sociale.

Une correspondance avec votre adresse e-mail dans cette fiche indique que vous figurez dans le jeu de données Bonobos. Commencez par déterminer quel mot de passe vous utilisiez sur votre compte Bonobos, sur quels comptes vous l’avez réutilisé et quelles informations personnelles sont enregistrées dans votre compte client. Changez ensuite vos mots de passe, en particulier ceux des comptes de messagerie, de paiement, d’achat et de livraison.

Une correspondance ne prouve pas que le numéro complet de votre carte a été exposé. Toutefois, la présence conjointe d’informations partielles de carte, d’une adresse, d’un numéro de téléphone, d’un historique d’achat et d’empreintes de hachage de mots de passe constitue un avertissement sérieux. Utilisez des mots de passe uniques, activez l’authentification à deux facteurs, surveillez les opérations effectuées avec votre carte et vérifiez les messages directement par un canal de confiance. Ces mesures réduisent sensiblement les risques de prise de contrôle de comptes, de fraude ciblée et d’hameçonnage qui pourraient découler de la fuite Bonobos.