Fuite de données chez Le Slip Français

Les types de données observés dans cette fiche sont les adresses e-mail, les noms, les numéros de téléphone et les adresses postales. La présence de mots de passe ou de données de carte de paiement n’ayant pas été vérifiée, cette fiche n’a pas été présentée comme une fuite de mots de passe. Ces champs ont été évalués individuellement; les champs non vérifiés concernant les cartes de paiement, les comptes bancaires, les pièces d’identité officielles, les messages privés, les dossiers médicaux ou d’autres informations de profil n’ont pas été ajoutés à la liste des catégories de données.

L’association d’un numéro de téléphone et d’une adresse postale à un nom peut rendre de fausses démarches de livraison et de retour plus crédibles. Une adresse e-mail seule présente un risque de messages indésirables et d’hameçonnage; associée à un nom, un numéro de téléphone, une adresse, une adresse IP, une date de naissance ou des informations professionnelles, elle permet à un attaquant de préparer plus facilement un message personnalisé. L’évaluation du risque a donc porté non seulement sur le nombre d’enregistrements, mais aussi sur la manière dont les différents champs peuvent être exploités ensemble.

Le périmètre a été limité à environ 1,49 million d’enregistrements en avril 2024. Les champs de données vérifiés ont été conservés, tandis que les champs non confirmés ont été exclus. L’utilisateur est ainsi informé du contenu de la fiche sans être alarmé de façon excessive, mais sans que le risque réel soit sous-estimé.

Cette fiche est associée au nom de domaine de Le Slip Français et à ses activités de commerce de détail en France; elle n’est pas regroupée avec d’autres marques ou systèmes de paiement. D’autres incidents portant éventuellement un nom similaire à celui de cette fiche n’ont pas été fusionnés en un seul incident de grande ampleur. Le nom de domaine, le nom de l’entreprise et les informations sur le secteur ont été conservés dans le contexte exact le plus restreint possible, afin d’éviter l’ajout de fuites en double ou associées à tort.

Les utilisateurs à risque sont les clients qui créent un compte dans la boutique, passent une commande ou communiquent des informations de livraison. Les utilisateurs pour lesquels une correspondance est trouvée doivent prendre en compte non seulement leur compte sur le service concerné, mais aussi les autres comptes sur lesquels ils utilisent la même adresse e-mail, le même nom d’utilisateur ou des mots de passe construits selon le même schéma.

Les utilisateurs dont le numéro de téléphone figure dans les données peuvent être ciblés par SMS et par appel, tandis que ceux dont l’adresse postale est présente peuvent recevoir des messages liés à la livraison. Pour les personnes inscrites avec une adresse e-mail professionnelle, le risque peut dépasser leurs comptes personnels : les attaquants peuvent rendre leurs messages plus convaincants à l’aide du nom, de la fonction, du numéro de téléphone, de l’adresse, des informations d’achat, de l’identifiant de jeu ou des informations du profil professionnel. Les utilisateurs ne doivent donc pas considérer une correspondance comme un problème limité à un seul site.

Les utilisateurs concernés doivent vérifier les messages reçus concernant les expéditions, les retours, les mises à jour de paiement et les promotions directement depuis leur compte officiel. Pour les fiches comportant un champ de mot de passe, il faut modifier le mot de passe de tous les comptes qui utilisent le même; pour celles qui n’en comportent pas, la priorité doit être donnée aux risques liés aux e-mails, au téléphone et aux fausses notifications. Dans les deux cas, le compte de messagerie doit être protégé par un mot de passe robuste et unique.

Au lieu de cliquer sur les liens contenus dans un message, il faut saisir manuellement l’adresse du service concerné ou utiliser l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Les messages contenant des codes de vérification reçus par téléphone, les demandes de réinitialisation de mot de passe et les notifications d’expédition, d’offre d’emploi, d’assistance, d’abonnement ou de sécurité ne doivent pas être considérés comme authentiques sans vérification par un canal indépendant.

Les anciennes adresses de livraison et les numéros de téléphone inutiles doivent être régulièrement supprimés des comptes de commerce en ligne. Il convient de faire régulièrement le tri dans les anciens comptes, les champs de téléphone et d’adresse inutilisés, les noms d’utilisateur réutilisés et les mots de passe construits selon les mêmes schémas. Les utilisateurs doivent choisir un mot de passe unique pour chaque service et activer la vérification en deux étapes lorsque cela est possible.

Pour les prestataires de services, limiter la conservation des données au strict nécessaire, protéger efficacement les mots de passe, surveiller les journaux d’accès, supprimer les champs de profil inutiles et informer les utilisateurs après une fuite constituent des exigences de base. Les numéros de téléphone et les adresses apportent un contexte précieux pour les tentatives de fraude, même en l’absence de données de carte de paiement. Dans ce type d’incident, communiquer précisément sur le périmètre est aussi important que les mesures correctives techniques; des informations exagérées ou incomplètes peuvent conduire l’utilisateur à prendre des mesures inadaptées.

L’utilisateur doit d’abord vérifier cette fiche à l’aide de son adresse e-mail. Si une correspondance est trouvée, il faut considérer que le numéro de téléphone et l’adresse postale ont pu être exposés et vérifier tout message en lien avec ces données directement sur le site officiel. L’absence de correspondance n’exclut pas totalement la réutilisation d’anciens mots de passe ni l’utilisation d’autres adresses e-mail associées au même service; les comptes critiques doivent donc être examinés séparément.

Cette fiche a conservé son statut vérifié et est restée clôturée, car les indicateurs de sensibilité, les mots de passe ou les données relevant de catégories privées n’ont pas été vérifiés. Lors de cette révision, les champs de données ont été conservés sous forme de catégories canoniques en anglais, la description visible par l’utilisateur a été rédigée en turc dans une formulation originale, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.