Fuite de données chez Fashion Nexus

Les types de données vérifiés dans cette fiche comprennent les adresses e-mail, les noms complets, les numéros de téléphone, les adresses postales, les historiques d’achat, les dates de naissance, les informations relatives au genre, les adresses IP, les informations user-agent des navigateurs et les données de mots de passe. Cette combinaison présente des risques qui vont au-delà du simple envoi de messages d’hameçonnage génériques par des attaquants. Si une personne a effectué des achats dans une boutique de mode à certaines périodes, utilisé une adresse de livraison particulière ou communiqué certaines coordonnées, ces informations pourraient être exploitées de manière convaincante dans des scénarios de faux retours, de mises à jour de livraison, de promotions, de frais d’expédition, de vérification de compte ou d’annulation de commande.

Le fait que les mots de passe soient hachés ne signifie pas que leur version en clair soit immédiatement visible par tous; toutefois, MD5 et SHA-1 sont considérés comme faibles au regard des exigences actuelles de sécurité. Les valeurs MD5 non salées sont particulièrement risquées, car elles peuvent être comparées relativement rapidement à des listes de mots de passe préparées à l’avance. L’ajout d’un sel aux valeurs MD5 et SHA-1 rend une attaque plus difficile, mais le risque subsiste pour les mots de passe courts, réutilisés ou fondés sur des mots du dictionnaire. Par conséquent, si vous avez utilisé sur d’autres sites le mot de passe de votre compte Fashion Nexus ou d’une boutique associée, vous devez le remplacer sur tous les comptes concernés.

Le nombre de comptes uniques vérifiés correspond à 1 279 263 adresses e-mail. La date de l’incident est enregistrée au 9 juillet 2018, et son périmètre comprend plusieurs sites de commerce électronique développés par White Room Solutions en lien avec le groupe de distribution connu sous le nom de Fashion Nexus. Jaded London et AX Paris figurent parmi les marques citées à titre d’exemple. Vous pouvez donc avoir créé un compte, passé une commande ou communiqué des informations de livraison auprès de boutiques de mode affiliées, même si le nom Fashion Nexus ne vous évoque rien directement.

Les champs vérifiés dans cette fiche se limitent aux données personnelles et de compte mentionnées ci-dessus. Les numéros complets de carte de paiement, les codes de sécurité des cartes, les comptes bancaires, les documents d’identité officiels et le contenu des messages privés ne font pas partie des champs vérifiés dans cette fiche. Toutefois, même s’ils ne constituent pas des données de carte de paiement, les historiques d’achat et les adresses peuvent révéler les habitudes d’achat réelles, les lieux de livraison et les moyens de communication d’un utilisateur. Il convient donc d’évaluer ce périmètre davantage sous l’angle du rapprochement d’identités, de la sécurité des comptes et du risque d’ingénierie sociale ciblée que sous celui des données de carte de paiement.

Les personnes les plus exposées sont les clients qui utilisent la même adresse e-mail et le même mot de passe dans les boutiques liées au réseau Fashion Nexus. Si ce mot de passe est également utilisé pour un compte de messagerie, de réseau social, d’achat en ligne, de livraison, de paiement non bancaire ou professionnel, des attaquants peuvent cibler d’autres services à l’aide de listes de mots de passe à tester. Une vigilance accrue s’impose en particulier si vous n’avez pas changé vos anciens mots de passe depuis des années, si vous utilisez un seul mot de passe sur plusieurs sites et si l’authentification à deux facteurs n’est pas activée sur votre compte de messagerie.

Pour les clients dont l’adresse et le numéro de téléphone figurent dans les données, le risque ne se limite pas aux tentatives d’accès à des comptes en ligne. Des attaquants peuvent se faire passer pour une entreprise de livraison, le service client d’une boutique, un service chargé des retours ou une équipe chargée d’une campagne promotionnelle, et préparer des messages cohérents avec les achats passés de la personne. Des informations supplémentaires, comme la date de naissance et le genre, peuvent aussi faciliter la recherche de réponses aux questions d’authentification ou la création de messages qui semblent personnalisés. Si vous utilisez les mêmes coordonnées sur plusieurs sites de mode, vous devez effectuer les vérifications nécessaires, même si vous ne vous souvenez pas précisément de la marque par laquelle cet incident vous a touché.

La première étape consiste à changer immédiatement le mot de passe utilisé dans les boutiques susceptibles d’être liées au réseau Fashion Nexus. Si vous avez utilisé le même mot de passe sur d’autres comptes, remplacez-le également par un mot de passe unique et robuste pour chacun d’eux. Un gestionnaire de mots de passe facilite la création de mots de passe longs et différents pour chaque site. La protection du compte de messagerie doit être prioritaire, car les liens de réinitialisation des mots de passe des comptes marchands sont généralement envoyés par e-mail. Si l’authentification à deux facteurs n’est pas activée sur votre compte de messagerie, activez-la immédiatement.

La deuxième étape consiste à faire preuve de prudence face aux messages concernant d’anciennes commandes, livraisons ou demandes de retour. Si un message vous demande de cliquer sur un lien, d’ouvrir une pièce jointe, de payer à nouveau, de confirmer une adresse ou de saisir des informations d’identité, vérifiez son authenticité directement sur le domaine officiel de la boutique concernée. Même si une personne qui vous appelle connaît les détails de vos anciennes commandes, cela ne suffit pas à prouver sa fiabilité. Vérifiez calmement les demandes urgentes présentées sous couvert de livraison, de retour ou de service client.

Cet incident montre que d’anciens comptes de commerce électronique peuvent continuer à présenter des risques pendant longtemps. Vous devez régulièrement fermer les comptes marchands que vous n’utilisez plus, limiter les adresses et numéros de téléphone qui y sont conservés, et utiliser un mot de passe différent pour chaque boutique. Les comptes créés il y a plusieurs années peuvent notamment contenir des mots de passe courts ou réutilisés, ou être associés à des adresses e-mail auxquelles vous n’avez plus accès. Lorsque ces comptes sont oubliés, les risques peuvent n’être repérés que tardivement après une fuite.

Du côté des entreprises, les acteurs du commerce de détail doivent moderniser leurs méthodes de stockage des mots de passe en utilisant des algorithmes actuels et robustes, éviter de conserver des données personnelles inutiles, pouvoir suivre les données clients en distinguant les différents prestataires et communiquer de manière transparente après un incident. Les anciennes méthodes comme MD5 et SHA-1 n’offrent pas une protection suffisante, même lorsque les mots de passe sont stockés sous forme hachée. Si les données clients circulent entre plusieurs marques et prestataires techniques, les limites de responsabilité et les cycles de vie des enregistrements doivent être clairement gérés.

L’adresse e-mail répertoriée dans cette fiche peut correspondre à un compte client utilisé chez Fashion Nexus ou dans l’une de ses boutiques de mode affiliées. Si une correspondance est trouvée, vous devez changer l’ancien mot de passe, mettre à jour tous les autres comptes sur lesquels ce même mot de passe est utilisé et vérifier l’historique des connexions de votre compte de messagerie. Si vous remarquez une connexion suspecte, une notification inattendue de réinitialisation de mot de passe, une commande inconnue ou une modification de livraison, contactez les services d’assistance concernés.

La fuite de données de Fashion Nexus ne doit pas être considérée comme un simple problème lié à un ancien site marchand. Lorsque des adresses e-mail, numéros de téléphone, adresses postales, historiques d’achat et données de mots de passe sont divulgués simultanément, le risque peut réapparaître des années plus tard dans des scénarios d’hameçonnage, de tentatives d’accès à des comptes et de rapprochement d’identités. L’utilisation de mots de passe uniques pour chaque compte, d’une authentification à deux facteurs robuste, la vérification attentive des liens et la réduction du nombre d’anciens comptes inutiles doivent devenir des habitudes de sécurité durables.