Fuite de données de ClaraHair (2023)

Sur les comptes de commerce électronique comme ceux de ClaraHair, le nom, le numéro de téléphone, l’adresse et l’historique des achats fournissent aux attaquants des informations concrètes sur le client. Un message adressé à un utilisateur sous prétexte d’un produit précis, d’une commande, d’un retour, de frais de livraison, d’une adresse manquante ou d’une vérification de paiement peut ainsi paraître plus crédible. Des champs comme la date de naissance et le numéro d’identification peuvent également servir d’éléments de vérification lors de faux échanges avec un service d’assistance. Les déclarations personnelles, les notes de commande ou les champs de texte libre, comme les descriptions de profil, peuvent contenir des renseignements supplémentaires que l’utilisateur a lui-même fournis et qui peuvent être exposés. Les champs relatifs à l’historique des paiements et au moyen de paiement ne correspondent pas à des numéros de carte complets; ils peuvent toutefois renseigner sur les habitudes de paiement de l’utilisateur ou son canal de paiement préféré, et être exploités à des fins de fraude.

Pour cette fiche, les catégories de données ont été élargies après une comparaison des sources. Auparavant, seuls les champs relatifs à l’adresse e-mail, au nom, au téléphone, à l’adresse, aux achats, aux paiements et à l’activité sur le site étaient visibles. Après des vérifications supplémentaires, les champs concernant la date de naissance, les numéros d’identification officiels et les déclarations personnelles ont également été inclus dans le périmètre des risques. En revanche, les mots de passe non vérifiés, les numéros complets de comptes bancaires et les numéros complets de cartes de paiement n’ont pas été ajoutés. La fiche n’a donc été ni inutilement restreinte ni élargie par des affirmations non étayées concernant des données financières. Sur l’écran de résultats de l’utilisateur, les données susceptibles d’être utilisées à mauvais escient dans le cadre du commerce électronique, des livraisons et de la vérification d’identité sont ainsi mieux identifiées.

Les utilisateurs concernés doivent examiner attentivement les messages relatifs aux promotions, aux coupons, aux livraisons, aux retours, à la vérification des paiements et à la mise à jour des adresses qui leur sont adressés pour leur compte ClaraHair ou pour d’autres comptes d’achat utilisant la même adresse e-mail. Les codes à usage unique, les confirmations d’identité, les liens de paiement et les demandes de récupération de compte reçus par téléphone ou par message doivent être vérifiés directement via les canaux officiels connus. Comme les données permanentes, telles que la date de naissance et le numéro d’identification, ne peuvent pas être modifiées, de faux échanges avec un service d’assistance personnalisés à l’aide de ces informations peuvent présenter des risques durables. Les utilisateurs doivent choisir un mot de passe unique pour leurs comptes d’achat, activer l’authentification multifacteur sur leur compte de messagerie et ne pas ouvrir de liens menant à une procédure de paiement en dehors du domaine dont ils ont directement saisi le nom.

Cette fiche a été classée au niveau critique sur LeakData, car les coordonnées de contact, l’adresse, la date de naissance, les données d’identification, les déclarations personnelles et les informations relatives aux achats et aux paiements se retrouvent dans un même incident. La description a été mise en forme pour correspondre naturellement à des recherches telles que fuite de données ClaraHair, fuite de données ClaraHair, fuite de données d’un site de commerce électronique de produits capillaires, données clients, risque lié au numéro d’identification, fuite de dates de naissance, sécurité de l’historique des commandes et fraude au moyen de paiement. Dans les résultats de leur recherche, les utilisateurs peuvent voir clairement non seulement si leur compte est répertorié, mais aussi quels champs de données présentent un risque dans le contexte des achats et de la vérification d’identité.

Dans la fiche ClaraHair, le champ des déclarations personnelles a notamment été conservé séparément. Ces champs de texte libre peuvent contenir des renseignements supplémentaires rédigés par l’utilisateur lui-même, comme une note de commande, une préférence de livraison, un commentaire client ou une description de profil. Ces informations, prises isolément, ne constituent pas un identifiant technique; toutefois, associées au nom, au numéro de téléphone, à l’adresse, à la date de naissance et à l’historique des achats, elles peuvent aider un fraudeur à personnaliser davantage son message. Des détails semblant correspondre à des achats antérieurs, à des demandes de retour ou à des préférences de livraison de l’utilisateur peuvent servir à instaurer un climat de confiance.

Dans cette fiche, les champs relatifs à l’historique des paiements et au moyen de paiement doivent également être interprétés avec prudence. Ils ne signifient pas qu’un numéro de carte complet ou un compte bancaire figure dans les données; ils augmentent toutefois le risque de fraude, car ils indiquent que des informations sur le contexte de paiement de l’utilisateur ont pu être divulguées. Les achats de produits de beauté et de soins personnels pouvant notamment être liés à des préférences privées, les utilisateurs doivent redoubler de prudence face aux messages qui évoquent des noms de produits, des promotions ou des abonnements.