Fuite de données chez Lazada RedMart

Les catégories de données confirmées dans la fuite Lazada RedMart comprennent les adresses e-mail, les prénoms et noms, les numéros de téléphone, les adresses physiques, les données partielles de carte bancaire et les empreintes de mots de passe. Cet ensemble de données ne donne pas, à lui seul, un accès complet aux moyens de paiement. En revanche, la combinaison du nom du client, de son adresse de livraison, de son numéro de téléphone et de son adresse e-mail permet de créer de fausses commandes, de fausses demandes d’assistance et de faux messages relatifs à la sécurité des comptes particulièrement convaincants. Les données partielles de carte peuvent comprendre des éléments tels que les six premiers et les quatre derniers chiffres, le nom du titulaire, la date d’expiration ou les coordonnées de facturation. Les utilisateurs doivent donc surveiller plus attentivement leurs relevés et leurs notifications.

• Adresses e-mail : Peuvent servir à des tentatives d’hameçonnage reprenant les noms de RedMart et de Lazada, à de fausses réductions, à de fausses notifications de livraison et à des messages de récupération de compte.
• Nom, téléphone et adresse : Renforcent les possibilités de ciblage individuel; un escroc peut tenter de convaincre l’utilisateur en imitant le langage de véritables commandes et livraisons.
• Empreintes de mots de passe : SHA-1 est une méthode ancienne dont les empreintes peuvent être cassées rapidement. Le risque de prise de contrôle d’un compte augmente pour les personnes qui utilisent le même mot de passe sur d’autres comptes.
• Données partielles de carte bancaire : Ne constituent pas les informations complètes de la carte. Elles peuvent néanmoins être détournées dans des scénarios tels qu’un faux appel de la banque, un prétendu renouvellement de carte ou une fausse confirmation de paiement.
• Adresses physiques : Associées aux informations de livraison et de facturation, elles augmentent les risques de harcèlement visant l’adresse du domicile, de messages ciblés et de contournement de la vérification d’identité.

La fiche vérifiée de cette fuite retient la date du 30 juillet 2020 et un impact de 1 107 789 comptes ou adresses e-mail. Des publications de l’époque indiquaient que les données RedMart avaient été mises en vente et que les enregistrements allaient jusqu’à juillet 2020. La décision officielle relative à la protection des données à Singapour indique que les données ont été extraites le 6 septembre 2020 et que 898 791 personnes ont été touchées. Ces deux chiffres correspondent à des niveaux de mesure différents : le premier est un indicateur d’indexation fondé sur les comptes ou les adresses e-mail, tandis que le second est le nombre de personnes retenu dans l’examen officiel. La fiche doit donc conserver le total de 1 107 789 entrées, et le nombre officiel de personnes doit être présenté séparément dans les explications relatives au périmètre.

Le périmètre se limite aux anciennes données des clients et des fournisseurs de RedMart. Il ne faut pas présenter comme vérifiée une compromission des données des clients actuels de Lazada ou de l’ensemble des comptes Lazada dans la région. Le rachat de RedMart par Lazada explique l’association des deux noms; toutefois, les données vérifiées de la fuite proviennent des anciens systèmes de RedMart. En outre, aucune catégorie telle que le numéro de sécurité sociale, le passeport, les informations de santé, le numéro complet de carte, le CVV ou le compte bancaire ne doit être ajoutée à cette fiche en dehors des champs vérifiés.

Le risque est le plus élevé pour les utilisateurs qui réutilisent le mot de passe de leur compte RedMart sur leurs comptes de messagerie, d’achat, bancaires, de réseaux sociaux ou professionnels. Même si les mots de passe ne sont pas stockés en clair, SHA-1 est un algorithme de hachage ancien et rapide qui permet de tester rapidement des mots de passe candidats. Les mots de passe faibles, courts ou déjà divulgués peuvent ainsi être devinés rapidement. Pour les personnes qui se connectent à de nombreux services avec la même adresse e-mail, les données de cette fiche peuvent entraîner un problème de sécurité des comptes bien plus large que celui d’un seul compte d’achat.

Les utilisateurs dont l’adresse et le numéro de téléphone ont été divulgués sont également plus vulnérables aux fraudes ciblées. Les fraudeurs peuvent combiner de véritables noms, de véritables adresses de livraison et des informations partielles de carte pour inventer des scénarios de faux service client, de faux retours, de faux frais de livraison, de suspension de compte ou de vérification de carte. Les personnes qui n’ont pas fait d’achats chez RedMart depuis longtemps ne doivent pas non plus être considérées comme à l’abri : les anciens ensembles de données peuvent servir à l’hameçonnage et au rapprochement de profils, même des années plus tard.

Remplacez immédiatement le mot de passe que vous avez utilisé sur votre compte RedMart ou Lazada par un mot de passe unique et robuste. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, sur d’autres services, modifiez également celui de chacun de ces comptes. Donnez la priorité aux comptes de messagerie, aux services financiers, aux comptes d’achat, aux réseaux sociaux et aux comptes professionnels. Une simple modification mineure du mot de passe ne suffit pas : si l’ancien mot de passe suit un schéma prévisible, les attaquants peuvent aussi essayer ces variantes.

1. Activez l’authentification multifacteur : Utilisez une application d’authentification ou une clé de sécurité sur chaque compte qui le permet.
2. Surveillez vos relevés : En raison des données partielles de carte divulguées, prêtez attention aux transactions de faible montant et à celles que vous ne reconnaissez pas.
3. Ne faites pas confiance aux faux messages d’assistance : Si l’on vous demande un mot de passe, un code à usage unique, un numéro complet de carte ou un CVV, interrompez la démarche.
4. Réduisez les risques liés à votre adresse et à votre téléphone : N’ouvrez pas les liens envoyés sous prétexte de livraison, de retour ou de taxes en dehors de l’application officielle ou du site officiel.
5. Vérifiez les sessions de vos comptes : Si vous constatez un appareil inconnu, une nouvelle adresse de livraison, un changement de carte enregistrée ou une tentative de commande suspecte, verrouillez le compte.

Cet incident montre que les comptes de commerce en ligne contiennent non seulement un historique d’achats, mais aussi des informations d’identité, d’adresse, de téléphone et de paiement. À long terme, il est nécessaire d’utiliser un mot de passe unique pour chaque site d’achat, de générer des mots de passe aléatoires à l’aide d’un gestionnaire et d’assurer au compte de messagerie un niveau de protection élevé et distinct. Passer régulièrement en revue les anciens comptes, fermer ceux qui ne sont plus utilisés et réduire le nombre de cartes enregistrées diminue l’exposition aux risques personnels.

Pour éviter l’utilisation abusive de leurs coordonnées, les utilisateurs doivent évaluer les messages reçus en tenant compte du contexte. Un message ne doit pas être considéré comme fiable simplement parce que son auteur connaît votre véritable nom, votre quartier de livraison ou les quatre derniers chiffres de votre carte. La leçon est également claire pour les entreprises : les données clients conservées dans d’anciens systèmes présentent toujours un risque actif et doivent être protégées, même si elles sont séparées des données clients utilisées au quotidien. La limitation des droits d’accès, une authentification distincte, l’absence de stockage superflu, une journalisation rigoureuse et des procédures de notification rapides réduisent l’impact de tels incidents.

Si une correspondance est trouvée pour votre adresse e-mail dans cette fiche, vérifiez d’abord votre historique RedMart/Lazada ainsi que les autres comptes sur lesquels vous utilisez le même mot de passe. Une correspondance ne signifie pas que les informations complètes de votre carte ou l’intégralité de votre compte Lazada ont été compromises. Le périmètre vérifié comprend les anciennes données clients associées à RedMart, les données partielles de carte et les empreintes de mots de passe. Il convient néanmoins de prendre des mesures contre l’hameçonnage, la prise de contrôle de comptes et la fraude ciblée.

Même si aucune entrée n’est trouvée, il est judicieux de prendre des précautions de base si vous avez déjà utilisé RedMart : mot de passe unique, authentification multifacteur, surveillance des relevés, vigilance face aux messages suspects et suppression des cartes enregistrées inutiles. Si votre adresse e-mail figure dans cette fuite, il n’y a pas lieu de paniquer; en revanche, continuer à utiliser le même mot de passe ailleurs augmente le risque. Une approche sûre consiste à isoler le compte concerné, à supprimer toute réutilisation de son mot de passe sur d’autres comptes et à faire preuve de davantage de discernement face aux tentatives d’ingénierie sociale qui exploitent votre numéro de téléphone ou votre adresse.