Violation de données de JD Group en 2023

Un article indépendant publié à l’époque indique que deux fichiers attribués à JD Group et à Everyshop ont été publiés sur un forum le 27 mai, que les échantillons examinés correspondaient aux formats sud-africains et que JD Group a été contacté. Le communiqué de l’entreprise cité dans cet article confirme qu’une violation de données a eu lieu; que des informations personnelles, notamment des noms, des coordonnées et des numéros d’identification, ont été exposées; que l’incident a fait l’objet d’une enquête et a été circonscrit; et que l’entreprise coopérerait avec les autorités de régulation.

Les boutiques sur lesquelles le communiqué de l’entreprise a été publié sont Bradlows, Everyshop, HiFi Corp, Incredible Connection, Rochester, Russells et Sleepmasters. Cette liste identifie les sites de vente en ligne concernés au sein du groupe; elle ne permet pas d’établir que tous les clients de ces boutiques ou tous les comptes de chaque enseigne ont été touchés. La méthode d’accès initial, l’auteur de l’incident et la période exacte d’accès n’ont pas été divulgués dans les sources publiques.

Le jeu de données externe vérifié contient cinq catégories structurées : adresses e-mail, noms, numéros de téléphone, adresses postales et numéros d’identification délivrés par les autorités sud-africaines. L’article indépendant mentionne également des colonnes ou des échantillons supplémentaires dans les deux fichiers du forum, notamment des dates de naissance, le genre et des numéros de TVA. Ces éléments rapportés ne sont pas automatiquement intégrés aux cinq catégories vérifiées, et aucun champ ne doit être considéré comme présent pour chaque personne.

Selon le communiqué de l’entreprise, les données bancaires ou financières n’ont pas été compromises. Les mots de passe, les cartes de paiement, les comptes bancaires et le contenu des commandes ne figurent pas non plus parmi les catégories structurées actuelles. Une correspondance d’adresse e-mail ne prouve pas que les cinq champs, dont un numéro d’identification, étaient présents pour une même personne.

Le chiffre 521 878 correspond au nombre d’adresses e-mail uniques dans le jeu de données externe vérifié; il ne s’agit pas d’un nombre de clients, de personnes ou de lignes du fichier source. Le traitement local a porté sur un fichier normalisé de 464 077 lignes, créé uniquement à partir de la colonne explicitement consacrée aux adresses e-mail dans le fichier source, et a établi 464 077 associations uniques à des adresses e-mail. Les noms, numéros de téléphone, adresses, numéros d’identification et toutes les autres colonnes ont été délibérément exclus de l’importation locale.

Le périmètre local des adresses e-mail compte 57 801 éléments de moins que la mesure externe. Cet écart ne suffit pas, à lui seul, à établir que des personnes manquent, qu’il s’agit d’un autre incident ou qu’une erreur de vérification a été commise. Les sources ne permettant pas de rapprocher les versions du jeu de données ni les détails de normalisation et de dédoublonnage, les deux chiffres sont présentés séparément.

Si vous avez reçu une notification de l’entreprise ou d’une boutique, vous pouvez vous fier aux champs mentionnés dans votre propre notification. Si un numéro d’identification ou une adresse était concerné, vous pouvez surveiller les nouvelles demandes de crédit ou d’ouverture de compte, les alertes de transaction et les demandes inattendues de vérification d’identité. Ne faites pas confiance à un interlocuteur au téléphone au seul motif qu’il connaît un numéro d’identification sud-africain.

Plutôt que de suivre les liens de messages inattendus concernant une livraison, un paiement en plusieurs fois, une garantie, un remboursement ou le service client, accédez directement à l’adresse du site de la boutique concernée. Ne communiquez pas de codes à usage unique, de mots de passe, de coordonnées de paiement ou de documents d’identité dans un message ou un appel suspect.