Fuite de données chez digiDirect

Lorsque le nom, le numéro de téléphone, l’adresse postale et la date de naissance sont réunis avec l’adresse e-mail, le profil client ainsi constitué devient très convaincant. Les produits électroniques ayant généralement une valeur élevée, des scénarios liés à la garantie, au service après-vente, aux retours ou à la livraison peuvent inciter l’utilisateur à agir rapidement.

Lorsque des champs tels que le nom, l’adresse e-mail, le numéro de téléphone, l’adresse postale, le nom d’utilisateur ou la localisation sont réunis, les attaquants peuvent préparer des messages donnant l’impression de provenir d’un service réellement utilisé par l’utilisateur. Ces informations, à elles seules, ne signifient pas nécessairement qu’un attaquant a pris le contrôle d’un compte; elles peuvent toutefois servir à des tentatives d’hameçonnage, à de fausses demandes d’assistance, à des notifications de livraison, à des vérifications de compte et à des scénarios de fraude ciblée. La fiche ne répertorie aucun champ de mot de passe ou de carte de paiement. Néanmoins, la date de naissance et l’adresse peuvent être utilisées pour gagner la confiance de l’utilisateur lors d’échanges avec un faux service client. Le fait que certaines adresses e-mail proviennent de domaines de places de marché externes indique que les commandes peuvent être associées à différents canaux de vente.

L’incident est daté du 29 septembre 2024 et le nombre d’adresses e-mail concernées est indiqué comme étant de 304 337. Les registres de sécurité indiquent que le jeu de données contient plus de 300 000 lignes et comprend des champs pour l’adresse e-mail, l’adresse postale, le nom, le numéro de téléphone et la date de naissance. Les catégories de données répertoriées sont cohérentes avec ce périmètre.

La présentation du périmètre ne doit pas laisser entendre que tous les détails des commandes ou les informations de carte de paiement ont été divulgués. Le risque concret de cet incident est celui d’une fraude ciblée fondée sur les coordonnées des clients et leurs informations de livraison. Il ne faut pas s’attendre à ce que tous les champs soient renseignés dans chaque entrée.

Les utilisateurs à risque sont les clients qui effectuent des achats dans le magasin digiDirect ou sur les canaux de vente en ligne associés. Les personnes qui achètent des appareils photo, des ordinateurs, des appareils mobiles ou des accessoires peuvent être ciblées par de faux messages concernant la garantie, le service après-vente ou la livraison.

Les utilisateurs dont le numéro de téléphone et l’adresse sont à jour peuvent également être ciblés par SMS et par appel téléphonique. Un attaquant qui connaît la date de naissance peut prétendre procéder à une vérification pour le compte du service client. Il est donc important que les utilisateurs prennent l’habitude de vérifier les demandes par les canaux officiels.

Les utilisateurs pour lesquels une correspondance a été trouvée doivent veiller à utiliser un mot de passe unique pour digiDirect et pour chacun des comptes d’achat associés à la même adresse e-mail. Les messages relatifs à l’expédition, à la garantie, aux retours et au service après-vente doivent être vérifiés depuis le compte officiel ou une adresse web connue.

Plutôt que d’ouvrir directement les liens reçus, l’utilisateur doit se connecter depuis l’adresse web connue ou l’application officielle du service concerné. Le fait qu’une personne qui vous appelle connaisse votre nom, votre adresse e-mail, votre adresse postale, votre commande ou des informations de votre profil ne prouve pas qu’elle est digne de confiance. Les codes de vérification à usage unique, les informations de carte de paiement et les mots de passe des comptes ne doivent être communiqués dans aucun échange avec un service d’assistance.

À long terme, l’utilisation régulière d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification à deux facteurs, ainsi que la suppression des informations personnelles inutiles dans les comptes, réduisent les risques. L’utilisation de la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de plusieurs fuites; il est donc possible d’envisager des adresses e-mail distinctes ou des alias pour les comptes sensibles.

Dans les comptes de boutiques de produits électroniques, il convient de supprimer les anciennes adresses de livraison, les numéros de téléphone qui ne sont plus utilisés et les informations enregistrées inutilement. Pour les commandes de produits de grande valeur, les échanges concernant l’expédition et la garantie doivent être suivis uniquement par les canaux officiels.

La vérification effectuée par LeakData indique si l’adresse e-mail recherchée figure dans ce jeu de données. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur; il constitue toutefois un avertissement suffisant pour prendre des mesures de précaution. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas la présence de l’adresse dans d’autres fuites.

Un résultat positif accroît le risque de fraude liée aux achats et au transport de colis. Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans ce jeu de données; il convient également de vérifier cette même adresse e-mail sur d’autres plateformes d’achat.