Fuite de données chez La Poste Mobile en 2022

Des articles consacrés à la sécurité et publiés à l’époque citent La Poste Mobile, qui déclarait que l’incident lié au rançongiciel avait débuté le 4 juillet et qu’elle avait suspendu les systèmes informatiques concernés après en avoir pris connaissance. Cette mesure a entraîné la fermeture temporaire du site web et de l’espace client. L’entreprise indiquait que les serveurs essentiels au fonctionnement des lignes mobiles étaient protégés et que le service téléphonique n’était pas affecté. En revanche, certains fichiers présents sur les ordinateurs des salariés pouvaient avoir été touchés et étaient susceptibles de contenir des données personnelles.

La fiche externe vérifiée relative à la fuite attribue l’événement au rançongiciel LockBit, indique que des données de l’entreprise ont été rendues publiques et précise que le site était toujours hors ligne dix jours après l’attaque. Les éléments directement confirmés par le communiqué de l’entreprise sont distingués des informations de la fiche externe concernant l’auteur de l’attaque et la publication des données. Les sources ne permettent pas d’établir la méthode d’accès initial, l’étendue du chiffrement ni si le dossier de chaque client a été consulté.

Le chiffre externe de 533 886 correspond à des adresses e-mail uniques, et non à des clients, à des lignes mobiles ou à des personnes distinctes. La présence de sept catégories dans la liste ne signifie pas non plus que chaque champ accompagnait chaque adresse e-mail. En particulier, une correspondance sur une adresse e-mail ne suffit pas à établir que le compte bancaire, l’adresse, le numéro de téléphone et la date de naissance de la même personne étaient tous présents.

Les cartes de paiement, les mots de passe, les identifiants délivrés par les autorités, le contenu des appels et celui des messages ne figurent pas dans la liste. Un numéro de compte bancaire ne permet pas, à lui seul, d’effectuer un retrait, mais il peut rendre plus convaincant un faux message relatif à un paiement ou prétendant provenir du service client lorsqu’il est associé à un nom, une adresse ou un numéro de téléphone. Cette fiche n’ajoute aucune affirmation concernant des cartes ou des mots de passe qui ne figure pas dans les sources.

Le traitement local achevé a porté sur la-poste-mobile-emails.txt, une union normalisée de trois champs explicitement consacrés aux adresses e-mail dans le fichier source. Les champs relatifs aux données bancaires, au nom, à l’adresse, au téléphone, à la date de naissance et au genre ont été exclus de l’importation. Le traitement a accepté 532 199 lignes contenant des adresses e-mail valides; après normalisation de la casse et déduplication, 532 179 associations uniques d’adresses e-mail restent dans l’environnement de production.

Le nombre de lignes valides dépasse de 20 celui des associations de l’index local, tandis que le nombre externe d’adresses e-mail uniques le dépasse de 1 707. En l’absence de rapprochement vérifiable entre les versions, ces chiffres ne sont ni additionnés ni interprétés comme représentant des personnes manquantes. Un résultat de recherche local établit uniquement une association avec une adresse e-mail et ne signifie pas que les six autres catégories peuvent faire l’objet d’une recherche dans l’index local.

Les personnes qui savent avoir utilisé le service devraient vérifier toute demande inattendue de paiement, de mise à jour de compte ou de vérification d’identité prétendant provenir de La Poste Mobile ou d’une banque, en passant par un canal connu accessible directement depuis le domaine actif lapostemobile.fr, et non par un lien contenu dans le message. Les sources ne signalant pas de mots de passe exposés, cette fiche ne présume pas qu’un changement systématique de mot de passe soit nécessaire. En cas d’opération bancaire inhabituelle, les coordonnées de contact doivent être obtenues auprès d’un canal officiel de la banque plutôt que dans le message reçu.