Fuite de données de Dymocks en 2023

La présence d’une adresse e-mail, d’un numéro de téléphone, d’un nom complet et d’une adresse postale dans une même fiche Dymocks facilite le contact direct avec l’utilisateur. Dans le contexte de la vente de livres, cela permet aux attaquants de créer de faux scénarios de commande, de promotion, d’expédition, de retour ou de mise à jour d’un compte de fidélité. Si la date de naissance et le genre figurent également dans les données, les messages peuvent paraître plus personnels, et les réponses aux questions de vérification peu robustes utilisées dans certaines procédures de récupération de compte peuvent devenir prévisibles.

Cette fuite ne doit pas être présentée comme un incident impliquant directement une fraude à la carte bancaire ou un cassage de mots de passe, car la présence de mots de passe ou de cartes de paiement n’a pas été vérifiée. Toutefois, les seules données de profil et de contact présentent déjà un risque sérieux d’ingénierie sociale. La combinaison de l’adresse postale, du numéro de téléphone et de l’adresse e-mail peut être exploitée dans des messages ciblant l’utilisateur sous prétexte de livraison à domicile, de points de fidélité, de commandes de livres ou de frais d’expédition. Une fiche Dymocks doit donc être considérée comme une source de risque durable pour les données personnelles, même si elle ne contient pas de données financières.

Le principal chiffre vérifié pour cette fiche est de 836 120 adresses e-mail uniques. Le nombre total de fiches de coordonnées clients a été estimé à environ 1,24 million. D’après les informations disponibles, le jeu de données couvre la période allant jusqu’à juin 2023 et l’entreprise a pris connaissance de l’incident en septembre 2023. Il a également été confirmé que des fiches clients ont circulé sur le dark web. Il convient donc de distinguer la date de l’incident de celle de son annonce publique.

Les catégories de données vérifiées sont la date de naissance, l’adresse e-mail, le genre, le nom, le numéro de téléphone et l’adresse postale. Certaines notifications adressées aux clients mentionnent des informations sur leur adhésion au programme de fidélité, comme le statut de membre ou le niveau de la carte de fidélité; toutefois, les principales catégories de données retenues dans cette fiche doivent rester les coordonnées personnelles et les données démographiques. Les mots de passe, les cartes de paiement, les passeports, les permis de conduire, les numéros d’identification et l’historique des transactions ne doivent pas être inclus dans le périmètre vérifié de cette fiche. Cette délimitation permet de décrire précisément le risque sans susciter de panique inutile chez l’utilisateur.

Les personnes les plus exposées sont celles qui possèdent un compte client Dymocks et ont communiqué leur véritable numéro de téléphone et leur adresse pour des commandes de livres, une adhésion au programme de fidélité ou des échanges avec le magasin. Ces utilisateurs peuvent être ciblés par de faux messages concernant des promotions sur les livres, des frais de livraison, une confirmation de retour, des points de fidélité ou une mise à jour de compte. Les utilisateurs dont la date de naissance figure dans les données doivent se montrer particulièrement vigilants face aux messages d’hameçonnage portant sur des réductions d’anniversaire ou des avantages réservés aux membres.

Les clients en Australie et sur les marchés voisins peuvent être ciblés par des messages reprenant les formulations locales des magasins, des services de livraison et des programmes de fidélité. Pour les personnes qui utilisent la même adresse e-mail sur d’autres comptes auprès de commerçants, le risque est que ces différents comptes d’achat soient reliés entre eux. Les utilisateurs inscrits avec une adresse e-mail professionnelle peuvent également être ciblés par de fausses factures, des invitations à des événements ou des messages concernant des achats professionnels. Comme des données difficiles à modifier, telles que l’adresse et le numéro de téléphone, ont été divulguées, le risque ne se limite pas à la période de l’annonce de l’incident.

Si votre adresse e-mail apparaît dans le fichier Dymocks, examinez attentivement les messages reçus concernant des commandes de livres, des expéditions, des points de fidélité, des retours ou la vérification de votre compte. Plutôt que de cliquer sur le lien contenu dans un message, accédez directement à votre compte depuis un navigateur ou l’application officielle. Même si aucune fuite de mots de passe n’a été confirmée pour ce fichier, si vous utilisiez des mots de passe faibles ou réutilisés à la même période, changer ceux de vos principaux comptes d’achat et de messagerie constitue une précaution utile.

Méfiez-vous des demandes reçues par SMS, par téléphone ou par courrier, car votre numéro de téléphone et votre adresse postale peuvent avoir été divulgués. Ne donnez pas suite, sans vérification, aux messages demandant un paiement sous prétexte de frais d’expédition, de confirmation de livraison, de cartes-cadeaux ou de points de fidélité. Vérifiez la présence de sessions inconnues et de règles de transfert dans votre compte de messagerie. Si d’autres comptes auprès de commerçants, enregistrés avec la même adresse e-mail, proposent l’authentification à deux facteurs, activez-la.

L’incident Dymocks montre que les entreprises du commerce de détail doivent réexaminer régulièrement la durée de conservation et la finalité d’utilisation des données personnelles durables, comme la date de naissance, le genre et l’adresse. Les organisations doivent réduire la collecte de données inutiles, limiter la conservation des fiches clients anciennes ou inactives au moyen de politiques de conservation et auditer régulièrement leurs partenaires tiers qui traitent des données. L’absence de mots de passe dans les données personnelles ne supprime pas la nécessité de minimiser les données collectées et de contrôler les accès.

Pour les utilisateurs, la démarche à long terme consiste à éviter de remplir les champs de profil inutiles dans les comptes auprès de commerçants et à utiliser des adresses e-mail distinctes selon les usages. Une fois divulguées, des informations durables comme les adresses postales et les numéros de téléphone ne peuvent plus être récupérées; il est donc important de ne pas les communiquer dans des formulaires de campagne promotionnelle ou d’adhésion peu fiables. Les utilisateurs professionnels doivent éviter de créer des comptes d’achat personnels avec leur adresse e-mail professionnelle et examiner également les messages reçus concernant des achats et des expéditions sous l’angle du risque d’hameçonnage.

Si votre adresse e-mail apparaît dans cette fiche, n’en concluez pas que votre mot de passe ou votre carte de paiement a été divulgué : ces données ne font pas partie du périmètre vérifié. En revanche, votre nom, votre adresse e-mail, votre numéro de téléphone, votre adresse postale, votre date de naissance et votre genre peuvent être réunis dans les données. Cette combinaison suffit à personnaliser des messages frauduleux. Évitez les liens suspects, consultez directement votre compte Dymocks et vérifiez les demandes de contact inattendues par les canaux officiels.

La bonne démarche consiste à se concentrer sur la prévention de l’utilisation abusive de vos coordonnées personnelles. Vérifiez la sécurité de votre messagerie, méfiez-vous des messages suspects reçus sur d’autres comptes d’achat utilisant les mêmes coordonnées et n’acceptez pas de demandes de paiement ou de vérification par téléphone. La fuite de données de Dymocks montre que des fuites contenant des données durables comme la date de naissance, le numéro de téléphone et l’adresse peuvent présenter des risques d’ingénierie sociale à long terme, même lorsqu’elles ne contiennent pas de données financières.