Fuite de données chez Le Coq Sportif Columbia

Les types de données observés dans cette fiche sont les adresses e-mail, les noms, les adresses postales, les adresses IP, les dates de naissance, les informations sur le genre, les informations sur les appareils, les historiques d’achats et les mots de passe. Le champ du mot de passe a été identifié comme un hachage bcrypt; bien qu’il s’agisse d’un format de stockage robuste, des risques subsistent lorsque les mots de passe sont faibles ou réutilisés. Ces champs ont été examinés séparément. Les cartes de paiement, comptes bancaires, pièces d’identité officielles, messages privés, dossiers médicaux ou champs de profil supplémentaires dont la présence n’avait pas été vérifiée n’ont pas été ajoutés à la liste des catégories de données.

Les informations sur les achats et les livraisons, les faux avis d’expédition, les retours, la vérification des commandes et les messages de campagne promotionnelle peuvent être présentés de manière convaincante. Une adresse e-mail seule présente déjà un risque de spam et d’hameçonnage. Associée à un nom, un numéro de téléphone, une adresse, une adresse IP, une date de naissance ou des informations professionnelles, elle permet à un attaquant de préparer plus facilement un message personnalisé. L’évaluation des risques a donc porté non seulement sur le nombre d’enregistrements, mais aussi sur les possibilités d’exploitation des champs combinés.

Le périmètre a été limité aux 79 712 comptes de mai 2023, et le champ relatif à l’entreprise a été corrigé pour désigner la boutique en ligne en Colombie. Les champs de données vérifiés ont été conservés, tandis que les champs non confirmés ont été exclus. Vous disposez ainsi d’informations sur la fiche existante sans être inutilement alarmé, mais sans que le risque réel soit minimisé.

Les champs tels que les cartes de paiement ou les pièces d’identité officielles n’ont pas été ajoutés, car leur présence n’avait pas été vérifiée; le domaine a été conservé directement sous la forme lecoqsportif.com.co. Si d’autres incidents portent un nom similaire à celui de cette fiche, ils n’ont pas été fusionnés en un seul incident de grande ampleur. Le nom de domaine, le nom de l’entreprise et les informations sur le secteur ont été conservés dans le contexte exact le plus restreint possible, afin d’éviter l’ajout de fuites en double ou attribuées à tort.

Les personnes à risque sont les clients qui ouvrent un compte, passent une commande ou communiquent des informations de livraison à la boutique colombienne. Si une correspondance est trouvée pour vos données, vous devez tenir compte non seulement de votre compte sur le service concerné, mais aussi des autres comptes sur lesquels vous utilisez la même adresse e-mail, le même nom d’utilisateur ou un mot de passe construit sur le même modèle.

Si le même mot de passe est utilisé sur d’autres comptes de boutiques en ligne, de messagerie ou de réseaux sociaux, le risque peut directement se traduire par des tentatives de prise de contrôle de comptes. Pour les personnes inscrites avec une adresse e-mail professionnelle, le risque peut dépasser le seul compte individuel. Les attaquants peuvent exploiter des informations telles que le nom, la fonction, le numéro de téléphone, l’adresse, l’historique d’achats, l’identifiant de jeu ou le profil professionnel pour envoyer des messages plus convaincants. Vous ne devez donc pas considérer une correspondance comme un problème limité à un seul site.

Si vous êtes concerné, vous devriez changer le mot de passe de votre compte sur la boutique ainsi que celui de tous les autres comptes où vous utilisez le même mot de passe. Lorsqu’une fiche contient un champ de mot de passe, le mot de passe de tous les comptes qui le réutilisent doit être changé. Lorsqu’elle ne contient pas ce champ, l’attention doit porter sur les risques liés aux e-mails, aux appels ou messages téléphoniques et aux fausses notifications. Dans les deux cas, votre compte de messagerie doit être protégé par un mot de passe robuste et unique.

Au lieu de cliquer sur les liens d’un message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée enregistrée dans un gestionnaire de mots de passe fiable. Les messages contenant des codes de vérification reçus par téléphone, les demandes de réinitialisation de mot de passe et les notifications concernant une expédition, une offre d’emploi, l’assistance, un abonnement ou la sécurité ne doivent pas être considérés comme fiables sans vérification par un canal indépendant.

Les informations d’adresse et de date de naissance qui ne sont pas nécessaires ne devraient pas être conservées dans les comptes clients des boutiques, et un mot de passe distinct devrait être utilisé pour chaque boutique. Il convient de faire régulièrement le tri dans les anciens comptes, les champs de téléphone et d’adresse inutilisés, les noms d’utilisateur en double et les mots de passe construits sur un modèle identique. Vous devriez utiliser un mot de passe unique pour chaque service et activer la vérification en deux étapes partout où elle est disponible.

Pour les fournisseurs de services, limiter la conservation des données au strict nécessaire, protéger efficacement les mots de passe, surveiller les journaux d’accès, supprimer les champs de profil inutiles et informer les utilisateurs après une fuite constituent des exigences de base. Dans le commerce de détail, les données de commande et d’adresse fournissent un contexte aussi précieux qu’un mot de passe. Lors de tels incidents, une communication exacte sur le périmètre est aussi importante que les corrections techniques : des informations exagérées ou incomplètes peuvent vous conduire à prendre des mesures inadaptées.

Commencez par rechercher votre adresse e-mail dans cette fiche. Si une correspondance est trouvée, vous devriez considérer que les champs relatifs à l’adresse, aux achats et au mot de passe peuvent également être à risque, et vérifier soigneusement les messages concernant les expéditions ou les retours. L’absence de correspondance n’exclut pas entièrement la réutilisation d’anciens mots de passe ni l’utilisation d’autres adresses e-mail associées au même service. Vos comptes les plus importants doivent donc être examinés séparément.

Cette fiche est restée vérifiée; son périmètre a toutefois été limité à la boutique colombienne. Dans cette version, les champs de données ont conservé leurs catégories canoniques en anglais, la description visible par les utilisateurs a été rédigée en turc sous la forme d’un texte original, les champs non vérifiés n’ont pas été ajoutés et l’indicateur de données sensibles n’a été utilisé que lorsque le contexte de risque le justifiait.