Fuite de données chez LDLC

La fiche LDLC contient des adresses e-mail, des noms, des numéros de téléphone, des adresses postales et des informations de civilité. Ces champs permettent d’adresser aux clients des communications personnalisées et crédibles. L’adresse postale peut être rapprochée d’informations de livraison en magasin ou d’expédition. Le numéro de téléphone peut être utilisé dans des escroqueries par SMS ou par appel téléphonique. Aucun mot de passe n’étant présent dans cette fiche, le risque direct de prise de contrôle d’un compte est limité; toutefois, les données sont suffisantes pour créer de faux messages concernant une garantie, un retour, une commande, le service technique ou la finalisation d’un paiement. Dans cette fiche, aucune carte de paiement, aucun mot de passe ni aucun numéro de série de produit ne figure parmi les données vérifiées.

L’incident LDLC est confirmé et concerne des clients de magasins physiques. Le nombre d’enregistrements correspond à 1,26 million d’adresses e-mail uniques. Il ne faut pas supposer que tous les champs ont été exposés pour chaque utilisateur; toutefois, l’association du nom, du numéro de téléphone et de l’adresse constitue un levier efficace pour commettre des fraudes. Ce constat ne signifie pas que des mots de passe de comptes en ligne ou des cartes de paiement ont été divulgués. Le risque découle de l’utilisation abusive des coordonnées des clients et du contexte de livraison à une adresse physique.

Les clients des magasins physiques LDLC, les personnes qui achètent des produits électroniques, celles qui ont recours au service technique ou à une garantie, ainsi que celles qui utilisent le même numéro de téléphone ou la même adresse sur des comptes auprès d’autres commerçants sont à risque. Les produits électroniques pouvant avoir une valeur élevée, de faux messages concernant une extension de garantie, une réorientation de livraison, une copie de facture ou le service technique peuvent paraître crédibles. Les personnes qui effectuent des achats pour le compte d’une entreprise peuvent être ciblées à partir de l’adresse et du numéro de téléphone de celle-ci. Les appels téléphoniques et les SMS nécessitent une vigilance particulière.

Si une correspondance entre vos données et la fiche LDLC est détectée, n’ouvrez pas de messages concernant l’expédition, la garantie, le service technique, le retrait en magasin, une facture ou la finalisation d’un paiement en dehors du canal officiel. Ne communiquez pas de données de carte de paiement, de codes à usage unique ni d’informations d’identité en réponse à des demandes reçues par téléphone. Même si aucun champ de mot de passe n’est répertorié, changez le mot de passe de votre compte LDLC s’il est faible ou réutilisé. Les informations d’adresse postale et de téléphone pouvant être utilisées à mauvais escient, vérifiez les messages de livraison dans les applications de transporteurs que vous connaissez ou sur le site officiel.

Veillez à garder autant que possible la maîtrise des coordonnées personnelles et des adresses de livraison enregistrées dans vos comptes clients. Utilisez un mot de passe unique pour chaque compte de commerce en ligne, limitez les autorisations de réception de SMS promotionnels et suivez vos commandes dans les applications officielles. Les numéros de téléphone et les adresses e-mail fournis lors d’achats en magasin physique peuvent aussi être utilisés dans des attaques en ligne. Les entreprises doivent sensibiliser leurs salariés aux faux messages de facturation et de livraison reçus à l’occasion d’achats effectués auprès de commerçants avec l’adresse de l’entreprise.

Si une correspondance avec LDLC est détectée lors d’une vérification dans LeakData, considérez-la comme un risque lié à l’exposition confirmée de coordonnées et d’adresses de clients d’un commerce. Une correspondance ne signifie pas qu’un mot de passe ou une carte de paiement a été divulgué; toutefois, l’adresse e-mail, le nom, le numéro de téléphone, l’adresse postale et les informations de civilité suffisent à mener des fraudes ciblées. Vérifiez les liens relatifs à la livraison, à la garantie et au service technique par les canaux officiels, ne communiquez pas d’informations de paiement par téléphone et utilisez des mots de passe uniques pour vos comptes auprès de commerçants. Si vous avez ouvert des comptes auprès d’autres distributeurs de produits électroniques avec le même numéro de téléphone et la même adresse, des messages concernant des extensions de garantie, des retours de produits ou le service technique peuvent également vous parvenir sous d’autres noms de marques. Il est plus sûr d’effectuer vos démarches depuis un compte client que vous connaissez plutôt que de suivre des liens dans des e-mails ou des SMS.