Fuite de données chez Fitmart

Les champs dont la présence dans cette fuite a été confirmée de manière certaine sont les adresses e-mail et les mots de passe. Les notifications adressées aux clients ont indiqué que des champs tels que le nom, l’adresse postale, le numéro de téléphone et la date de naissance pourraient également avoir été touchés. Cette distinction est importante : il ne faut pas supposer que tous les champs figurent dans chaque enregistrement, mais le risque concernant les informations du profil client et les coordonnées doit être pris au sérieux. Une adresse e-mail permet à un attaquant de contacter la personne concernée, un mot de passe permet des attaques par force brute contre son compte, et l’adresse ainsi que le numéro de téléphone peuvent faciliter des scénarios d’ingénierie sociale plus convaincants.

Le champ du mot de passe est le plus critique. Si le mot de passe du compte Fitmart est réutilisé sur d’autres comptes de commerce en ligne, de messagerie, de réseaux sociaux, de jeux, de forums ou sur des comptes professionnels, les attaquants peuvent essayer la même combinaison sur différents services. L’historique des achats de produits de nutrition sportive ou de compléments alimentaires peut aussi être exploité dans de fausses campagnes promotionnelles, des notifications de renouvellement d’abonnement, des demandes de frais de livraison ou des confirmations de retour. Ne vous laissez pas tromper par un message au seul motif qu’il contient des détails vous concernant.

Le nombre d’adresses e-mail uniques vérifiées est de 214 492, et l’incident remonte à octobre 2021. Le domaine associé à Fitmart dans le suivi de cet incident est fitmart.de, et l’affaire concerne le commerce de produits de fitness en Allemagne. Le jeu de données divulgué dont le contenu est le plus clairement établi comprend des adresses e-mail et des informations sur les mots de passe. Les notifications adressées aux clients ayant indiqué que certains autres champs de données personnelles pourraient également avoir été touchés, le risque concernant les noms, adresses, numéros de téléphone et dates de naissance doit aussi être expressément mentionné dans cette fiche.

Dans cette fiche, les numéros de carte de paiement, les codes de sécurité des cartes, les comptes bancaires, les soldes de transactions, les documents d’identité officiels et le contenu des messages privés ne font pas partie des champs de données vérifiés. L’absence de données de paiement et d’informations bancaires réduit le risque; toutefois, l’association des mots de passe, des adresses e-mail et des coordonnées des clients exige toujours une grande prudence. Plutôt que de partir du principe que « les données de ma carte ont été divulguées », vous devez considérer la réutilisation des mots de passe et les faux contacts du service client comme les principaux risques.

Les clients les plus exposés sont ceux qui réutilisent le mot de passe de leur compte Fitmart sur d’autres comptes. Si la même combinaison d’adresse e-mail et de mot de passe est utilisée sur différents sites marchands, comptes de messagerie, profils de réseaux sociaux ou applications de fitness, le risque de tentatives de connexion à ces comptes augmente. Si vous réutilisez vos anciens mots de passe en y apportant de petites modifications, vous devez également rester vigilant : les attaquants peuvent essayer des variantes similaires.

Pour les personnes dont l’adresse, le numéro de téléphone ou la date de naissance ont été touchés, le risque porte davantage sur des tentatives de fraude personnalisées. Les messages prétendant concerner des commandes de compléments alimentaires pour le sport, des retards de livraison, des retours de produits, des réductions sur les abonnements ou des campagnes liées à la santé peuvent sembler plus convaincants. Les achats de compléments alimentaires et de produits de fitness pouvant également révéler des préférences personnelles et des informations sur le mode de vie, vous devez faire preuve de prudence face aux publicités ciblées, aux enquêtes ou aux appels d’assistance que vous recevez à ce sujet.

Changez immédiatement le mot de passe de votre compte Fitmart. Si vous utilisez le même mot de passe sur d’autres comptes, changez-le sur chacun d’eux. La mesure la plus efficace consiste à utiliser un gestionnaire de mots de passe pour créer un mot de passe unique, long et aléatoire pour chaque service. Protégez tout particulièrement votre compte de messagerie, car les liens de réinitialisation des mots de passe des comptes marchands sont généralement envoyés à votre adresse e-mail. Si l’authentification à deux facteurs n’est pas activée sur votre compte de messagerie, activez-la.

Avant de cliquer sur un lien, vérifiez les messages envoyés au nom de Fitmart, d’un transporteur, d’un prestataire de paiement ou du service client en passant par le domaine officiel. Les messages concernant des adresses ou des commandes peuvent sembler authentiques. Toutefois, toute demande de mot de passe, de code à usage unique, de paiement supplémentaire ou de document d’identité doit être vérifiée par un autre canal. Le simple fait que la personne qui vous appelle connaisse votre nom ou votre adresse ne prouve pas qu’elle est digne de confiance.

La fuite de données de Fitmart montre que la réutilisation des mots de passe sur les comptes de commerce en ligne constitue l’un des risques majeurs. À long terme, utilisez un mot de passe différent pour chaque boutique, fermez les comptes inutilisés et limitez les informations telles que les adresses, numéros de téléphone et dates de naissance conservées dans vos anciens comptes marchands. Ne pas communiquer de données inutiles lors de l’inscription sur des sites de commerce en ligne et garder les notifications de sécurité des comptes activées réduit l’impact d’incidents similaires.

Pour les entreprises du commerce de détail, il est impératif de protéger les mots de passe des clients au moyen d’algorithmes robustes, de ne pas conserver de données personnelles inutiles et de fournir aux clients des informations claires sur le périmètre d’un incident après sa survenue. Dans les catégories de produits liées aux préférences personnelles, comme le fitness et les compléments alimentaires, les données clients ne doivent pas être considérées comme de simples coordonnées. Lorsqu’elles sont associées au contexte des achats, à l’adresse et aux coordonnées, elles peuvent accroître le risque de fraude ciblée. La minimisation des données, le stockage sécurisé des mots de passe et la surveillance des accès doivent donc faire partie d’une stratégie de sécurité pérenne.

Si votre adresse e-mail figure dans cette fiche, vérifiez le mot de passe de votre compte Fitmart ainsi que ceux des autres comptes sur lesquels vous réutilisez ce même mot de passe. Le changer uniquement sur Fitmart peut ne pas suffire. Adoptez un mot de passe unique pour chacun de vos comptes de messagerie, de commerce en ligne, de réseaux sociaux et d’applications sportives sur lesquels vous utilisez un mot de passe identique ou similaire. Si vous recevez une alerte de connexion suspecte, un message inattendu de réinitialisation de mot de passe ou si vous constatez une activité liée à une commande que vous ne reconnaissez pas, examinez les paramètres de sécurité du compte concerné.

Dans la fuite de données de Fitmart, bien que la présence de données de paiement et d’informations bancaires n’ait pas été vérifiée, le risque concernant les adresses e-mail, les mots de passe et les coordonnées des clients est élevé. Les mesures les plus appropriées consistent à cesser de réutiliser les mots de passe, à protéger votre compte de messagerie par une authentification à deux facteurs, à vérifier attentivement les messages concernant les livraisons et les retours, et à réduire le nombre de vos anciens comptes de commerce en ligne. Ces mesures réduisent l’impact direct des données figurant dans la fiche Fitmart tout en protégeant les autres comptes sur lesquels vous avez utilisé les mêmes mots de passe.