Fuite de données de LeroyMerlin.ru (2023)

Les achats dans les magasins de bricolage et les quincailleries sont souvent associés à des informations d'adresse et de livraison, au choix d'un magasin, à des demandes de service et aux échanges avec le service client. Lorsque le nom, le numéro de téléphone, l'adresse et la localisation d'un client sont divulgués avec les données de son compte de messagerie, de faux avis de livraison, des mises à jour de commande, des procédures de retour, des formulaires de garantie, des coupons promotionnels ou des vérifications d'adhésion au magasin peuvent sembler très convaincants. Les profils de réseaux sociaux et l'activité sur le site web renforcent cette personnalisation. La présence d'informations sur les empreintes de mots de passe et de sels de mots de passe indique que la fuite ne concerne pas seulement des données marketing, mais aussi les mécanismes de sécurité des comptes.

Pour cette fiche, les catégories de données ont été simplifiées en fonction des champs validés. Les catégories insuffisamment étayées, comme le nom d'utilisateur et le nom de l'entreprise, ont été supprimées; les champs relatifs à l'identité, aux coordonnées, à l'adresse, à la localisation, aux profils sociaux, à l'activité web et à la sécurité des mots de passe ont été conservés. Les informations sur les empreintes de mots de passe et les sels de mots de passe sont présentés séparément, car une fuite révèle aussi des éléments de sécurité liés au mode de stockage des mots de passe. L'affichage de l'activité sur le site web indique également que le comportement de l'utilisateur sur la plateforme et son contexte d'achat peuvent faire partie du périmètre de risque. Cette structure permet à l'utilisateur de voir quels types de données présentent réellement un risque, sans ajouter de champs inutiles.

Si vous êtes concerné, vérifiez si le mot de passe de votre compte LeroyMerlin.ru est également utilisé sur d'autres services. Si vous utilisez un mot de passe identique ou similaire, changez-le sur tous les comptes concernés et activez l'authentification multifacteur partout où cela est possible. En raison de l'exposition des adresses et des numéros de téléphone, méfiez-vous des faux appels concernant une livraison, une expédition, un retour, un rendez-vous d'intervention ou une campagne promotionnelle. Des informations recoupées avec des profils de réseaux sociaux peuvent servir à vous cibler avec des messages qui semblent plus personnels. Vérifiez donc les messages contenant des liens en saisissant vous-même le nom de domaine dans votre navigateur ou en passant par l'application que vous connaissez.

Cette fiche sur LeakData a été classée au niveau critique. La description a été rédigée pour correspondre naturellement à des recherches telles que fuite de données de LeroyMerlin.ru, fuite de données de Leroy Merlin en Russie, fuite de données clients, sécurité des données d'adresse, fuite de profils de réseaux sociaux, sécurité de l'activité web et risque lié aux empreintes de mots de passe. L'utilisateur peut voir clairement le nombre approximatif d'enregistrements concernés par l'incident, les champs de données qui ont été vérifiés et les raisons pour lesquelles ces champs présentent un danger dans le contexte de la vente au détail et du commerce en ligne.

Dans la fiche LeroyMerlin.ru, les champs du nom d'utilisateur et du nom de l'entreprise ont été supprimés, car les risques vérifiables sont déjà suffisamment clairs concernant l'identité des clients, leur adresse, leur localisation, leurs profils sociaux, leur activité web et la sécurité de leurs mots de passe. La présence d'une adresse et d'un numéro de téléphone dans les données de vente au détail facilite particulièrement l'ingénierie sociale liée aux livraisons, aux rendez-vous d'intervention, aux retours, aux garanties et aux promotions. Les profils de réseaux sociaux peuvent aider un attaquant à paraître plus proche de l'utilisateur; l'activité sur le site web peut donner des indices sur les habitudes d'achat ou l'utilisation d'un compte de membre. Les informations sur les empreintes de mots de passe et les sels de mots de passe sont également importants pour la sécurité des comptes; les personnes qui utilisent le même mot de passe sur d'autres comptes courent un risque supplémentaire. Grâce à cet ajustement, la fiche n'est ni incomplète ni alourdie de champs non étayés. Sur l'écran des résultats, l'utilisateur peut prendre connaissance de menaces réalistes et des mesures à prendre, sans voir de détails techniques inutiles.

Cette fiche montre également que les adhésions à des enseignes de vente au détail peuvent encore être exploitées de manière abusive, même lorsqu'elles sont anciennes. Vous avez peut-être déménagé, changé de numéro de téléphone ou cessé d'utiliser le compte depuis longtemps; néanmoins, les adresses e-mail divulguées et les anciennes adresses postales peuvent servir à des tentatives de fraude actuelles lorsqu'elles sont recoupées avec d'autres jeux de données. Le risque ne se limite donc pas aux commandes en cours.