Fuite de données chez Livpure

Les catégories de données vérifiées sont regroupées sous six rubriques principales : adresses e-mail, informations nominatives, numéros de téléphone, adresses physiques, informations d’achat et informations de civilité. Lorsqu’une adresse e-mail et un numéro de téléphone figurent ensemble, l’utilisateur peut être ciblé par e-mail, SMS et appels téléphoniques. Une adresse physique renforce la crédibilité d’un message portant sur une livraison ou une intervention. Les informations d’achat permettent de personnaliser davantage les messages frauduleux, car elles indiquent le produit ou le service qui intéresse l’utilisateur.

Dans cette fiche, les mots de passe, les données de carte de paiement, les numéros d’identification nationale et les informations bancaires ne font pas partie des données vérifiées. Le risque ne doit toutefois pas être sous-estimé : les informations sur les produits et les adresses peuvent servir à élaborer des messages frauduleux portant sur une garantie, un entretien, un remplacement de filtre, une mise à jour de livraison ou une procédure de retour. Les informations de civilité et le champ du nom permettent plus facilement de donner aux messages l’apparence d’une communication officielle destinée aux clients. Lorsque l’adresse du domicile et le numéro de téléphone figurent dans le même enregistrement, l’exposition touche de manière particulièrement sensible la sphère privée de l’utilisateur.

Le périmètre vérifié comprend 269 552 adresses e-mail uniques et plus de 1 million d’enregistrements d’achats. Ce chiffre ne signifie pas que chaque enregistrement de commande correspond à une personne distincte : plusieurs achats peuvent être associés au même client. Le nombre d’utilisateurs doit donc être distingué du nombre d’adresses e-mail, et le volume de transactions du nombre d’enregistrements d’achats. La date de la fuite indiquée dans la fiche est le 29 août 2020, et la fiche a été vérifiée au sein de grands jeux de données de fuites le 22 mai 2021.

Le point d’entrée technique n’ayant pas été établi publiquement de manière définitive, aucune vulnérabilité précise d’un système, aucun compte d’employé, aucune erreur de stockage dans le cloud ni aucun service tiers ne doit être présenté comme la cause exacte. L’information vérifiée est que des données de clients et de commandes de Livpure ont été observées dans une archive de données, avec notamment des champs utilisés pour communiquer avec les clients. Aucun champ de mot de passe ou de carte de paiement ne doit être ajouté à cette fiche. Cette distinction permet de se concentrer sur les risques réels, à savoir les communications ciblées, la fraude et le recoupement de données personnelles, sans susciter de panique inutile chez l’utilisateur.

Le principal groupe à risque se compose des clients qui fournissent des informations ou passent des commandes auprès de Livpure pour des produits de purification de l’eau, des services d’entretien, des accessoires, des lits, des produits pour la maison ou des articles similaires. Puisque les adresses e-mail, les numéros de téléphone et les adresses physiques apparaissent ensemble, les utilisateurs qui attendent une livraison, dont la garantie est encore valide, qui ont prévu un rendez-vous d’intervention ou qui attendent un remplacement périodique de filtre peuvent être ciblés par des messages plus convaincants. Même pour les anciens clients, le risque persiste si leur numéro de téléphone et leur adresse sont toujours à jour.

Les personnes qui passent des commandes pour leur famille, qui associent leur adresse personnelle à leur adresse e-mail professionnelle, qui réutilisent leur numéro de téléphone sur des comptes bancaires et des comptes clients sur les sites marchands, qui ont communiqué l’historique d’entretien de leurs produits, ainsi que les responsables des achats en entreprise doivent faire preuve d’une vigilance accrue. Un attaquant peut passer un appel en se faisant passer pour le service client et en évoquant le type d’achat ou l’adresse de l’utilisateur. Bien que cette fiche ne contienne pas de mot de passe, la diversité des données personnelles renforce la crédibilité du scénario frauduleux et peut pousser l’utilisateur à prendre une décision précipitée.

Si votre adresse e-mail figure dans cette fiche, commencez par vérifier votre compte Livpure et le compte de messagerie associé pour repérer toute activité inhabituelle, session suspecte ou modification inattendue d’une commande. Si vous utilisez le même mot de passe pour votre compte Livpure et pour d’autres services, choisissez un nouveau mot de passe fort et unique pour chaque service. Même si la compromission du mot de passe n’a pas été confirmée dans cette fuite, il convient de renforcer la sécurité des comptes, car la réutilisation des mots de passe est fréquente pour les comptes clients sur les sites marchands.

Méfiez-vous des demandes reçues par téléphone, SMS ou e-mail concernant une livraison, une garantie, un entretien, un remplacement de filtre, un retour ou des instructions de paiement. Même si le message contient votre nom, votre adresse ou le type de produit que vous avez acheté, cela ne suffit pas à prouver qu’il est sûr. Avant de cliquer sur des liens, saisissez vous-même l’adresse du site, consultez le numéro du service client sur le site officiel et vérifiez les demandes de paiement ou de pièces d’identité par un canal distinct. Si votre adresse a été divulguée, faites preuve d’une vigilance accrue face aux appels inattendus lors des livraisons et des rendez-vous d’intervention.

À long terme, privilégiez des mots de passe distincts, des alias de messagerie distincts et, si possible, la vérification en deux étapes pour vos comptes de commerce en ligne et de vente au détail. Réduire le nombre d’adresses inutilement enregistrées, d’anciens numéros de téléphone et de moyens de paiement inutilisés sur les sites d’achat limite l’exposition des données. Dans le cadre des échanges avec le service client, ne transmettez des pièces d’identité, des images de cartes ou des informations d’adresse très détaillées que lorsque cela est réellement nécessaire, et uniquement par les canaux officiels.

Les utilisateurs doivent examiner avec davantage d’attention les messages promotionnels, de service et d’entretien provenant de marques auprès desquelles ils ont déjà effectué des achats. Une approche prudente consiste à vérifier chaque message, même lorsque sa source est connue, et à contrôler depuis les comptes officiels les opérations qui touchent à l’argent ou aux adresses, telles que les paiements, les retours, les garanties ou les modifications de livraison. Lorsqu’un numéro de téléphone et une adresse e-mail restent inchangés pendant longtemps, d’anciennes archives de données peuvent être réutilisées pour de nouvelles attaques. Il est donc important de vérifier régulièrement ses comptes.

Si le résultat pour Livpure est positif sur LeakData, cette fiche concerne la fuite de données de clients et de commandes de Livpure datée du 29 août 2020. La première étape consiste à déterminer à quel compte ou à quelle commande Livpure l’adresse e-mail concernée est associée. Ensuite, partez du principe que le numéro de téléphone, l’adresse et les informations d’achat pourraient être utilisés dans des messages frauduleux, et vérifiez plus rigoureusement les communications reçues. Ne vous précipitez pas, en particulier face aux messages concernant une livraison, une intervention, une garantie ou un remboursement de paiement.

Lors de la vérification finale, renouvelez le mot de passe de votre compte Livpure, attribuez des mots de passe distincts aux autres comptes clients sur les sites marchands qui utilisent le même mot de passe et protégez efficacement votre compte de messagerie. Les catégories de données vérifiées pour cette fiche de fuite sont les adresses e-mail, les informations nominatives, les numéros de téléphone, les adresses physiques, les informations d’achat et les informations de civilité. Les mots de passe, les données de carte de paiement et les numéros de pièce d’identité officielle ne sont pas des champs vérifiés dans cette fiche. Les mesures à prendre doivent viser à réduire les risques de fraude ciblant les utilisateurs, d’ingénierie sociale fondée sur l’adresse et d’atteinte à la sécurité des comptes.