Fuite de données Canada Goose de 2025

Les types de données vérifiés sont les informations sur les appareils, les adresses e-mail, les adresses IP, les noms, les données partielles de carte de crédit, les numéros de téléphone, les adresses postales et les informations d’achat. Ensemble, ces champs permettent de dresser un profil limité, mais exploitable à des fins de fraude, concernant les achats passés de l’utilisateur, ses informations de livraison, ses moyens de contact et la carte de paiement utilisée.

Les données partielles d’une carte ne suffisent pas, à elles seules, à effectuer un paiement. Toutefois, le type de carte et ses quatre derniers chiffres peuvent servir à inspirer confiance dans de faux messages de remboursement, de vérification de paiement ou de sécurité des comptes. Lorsque les informations d’achat concernent des produits de grande valeur, elles peuvent rendre plus convaincants de faux messages relatifs à une garantie, à la vérification d’un produit, à une livraison, à un remboursement ou à une offre promotionnelle.

La date vérifiée est le 4 juillet 2025 et le périmètre consultable vérifié comprend 581 877 adresses e-mail uniques. Le jeu de données contiendrait environ 920 000 enregistrements; ce chiffre ne correspond pas directement au nombre de personnes distinctes. Un même client peut apparaître dans plusieurs lignes relatives à des transactions, des livraisons, des paiements ou des adresses. Il faut donc distinguer le nombre d’enregistrements du nombre d’adresses e-mail uniques.

Cette fiche n’affirme pas que des numéros complets de carte de crédit, des codes de sécurité de carte, des comptes bancaires, des mots de passe, des sessions de compte ou des documents d’identité officiels ont été divulgués. Canada Goose a déclaré que les données semblaient liées à d’anciennes transactions de clients et provenaient d’un tiers. Le risque tient moins à la possibilité d’effectuer directement un paiement qu’au fait que des informations réelles sur les achats et des données partielles de carte peuvent rendre de faux messages plus convaincants.

Les clients qui ont déjà effectué des achats auprès de Canada Goose, communiqué une adresse de livraison et un numéro de téléphone, et dont les transactions comportent des traces d’utilisation d’une carte de paiement peuvent être exposés à un risque. Ces informations se prêtent à de faux messages concernant des produits de grande valeur, des garanties, des retours, des réparations, des contrôles d’authenticité ou des livraisons. Vous devez être particulièrement attentif aux messages qui semblent correspondre à vos achats passés.

La présence d’une adresse postale et d’un numéro de téléphone indique que l’attaque peut aller au-delà des e-mails. De fausses demandes de frais de livraison, de correction d’adresse, de retour de produit, d’entretien ou de renouvellement de garantie peuvent arriver par SMS ou par téléphone. Les informations sur les adresses IP et les appareils peuvent également être utilisées dans de fausses alertes de sécurité. La présence des quatre derniers chiffres de votre carte ou de votre adresse exacte dans un message ne prouve pas que la demande est authentique.

Si votre adresse e-mail correspond à une entrée de cette fiche, vérifiez votre compte Canada Goose en accédant à l’adresse de connexion que vous connaissez et utilisez des mots de passe forts et uniques pour vos comptes d’achat associés à cette même adresse e-mail. Les mots de passe ne font pas partie des catégories de données vérifiées dans cet incident; des tentatives de collecte de mots de passe au moyen de fausses pages de connexion restent toutefois possibles. N’utilisez pas directement les liens figurant dans les messages de remboursement, de garantie, de livraison ou de vérification de paiement.

Gardez les notifications de l’émetteur de votre carte activées et surveillez les tentatives de transaction inattendues ainsi que les demandes de vérification liées à votre carte. Ne répondez pas aux messages qui demandent les informations complètes de votre carte ou ses codes de sécurité. Un message contenant des données partielles de carte peut indiquer que l’attaquant utilise des données de transactions passées. Vérifiez les opérations de livraison et de retour uniquement par les canaux officiels que vous connaissez.

Pour les comptes utilisés pour acheter des produits de grande valeur, les informations d’achat et d’adresse ainsi que les données partielles de paiement peuvent favoriser la fraude pendant longtemps. Utilisez des mots de passe uniques pour vos comptes d’achat, examinez régulièrement les moyens de paiement enregistrés et supprimez les anciennes adresses devenues inutiles. Des informations limitées, comme les quatre derniers chiffres d’une carte, ne doivent pas être considérées à elles seules comme une preuve fiable lors de questions de vérification.

Pour les organisations, cet incident montre que les données historiques de transaction détenues par des tiers ont aussi une incidence sur la sécurité des clients. Les informations d’achat, de livraison, d’appareil et les données partielles de carte doivent être conservées selon le principe de minimisation des données. Les durées de conservation appliquées par les tiers doivent être auditées et le périmètre complet doit être clairement délimité dans les notifications aux clients. De votre côté, prenez l’habitude d’engager les échanges concernant les retours, les garanties et les livraisons par les canaux officiels.

Une correspondance avec votre adresse e-mail dans cette fiche indique que cette adresse figure dans le jeu de données historiques de transactions clients associé à Canada Goose. Cette correspondance ne signifie pas que le numéro complet de votre carte, son code de sécurité ou votre mot de passe a été divulgué. Vous devez d’abord déterminer quelles informations d’achat, de livraison ou de carte de paiement ont été utilisées avec cette adresse e-mail.

La bonne démarche consiste à sécuriser votre compte d’achat, à surveiller les notifications liées à votre carte, à vérifier les messages de livraison et de retour par les canaux officiels, à faire preuve de prudence face aux messages contenant les quatre derniers chiffres de votre carte ou votre adresse, et à ne jamais communiquer vos informations complètes de paiement par l’intermédiaire d’un lien. Cette fiche présente un risque de fraude ciblée, notamment en raison des produits de grande valeur et des données partielles de carte concernées.