Fuite de données chez Locally

Les principaux types de données vérifiés dans cette fiche sont les adresses e-mail, les numéros de téléphone, les adresses postales, les historiques d’achats, les informations partielles de cartes de crédit et les données relatives aux mots de passe. Les informations partielles de carte désignent des champs limités, tels que le type de carte et ses quatre derniers chiffres; ni le numéro complet de la carte ni son code de sécurité ne figurent parmi les champs vérifiés de cette fiche. Les données relatives aux mots de passe se présentent sous forme d’empreintes bcrypt. Un format de hachage robuste ne signifie pas que les mots de passe sont en clair, mais un risque subsiste pour les mots de passe faibles ou réutilisés.

La présence de l’adresse e-mail, du numéro de téléphone et de l’adresse postale dans un même enregistrement accroît le risque d’ingénierie sociale ciblée. Les informations d’achat peuvent indiquer à un attaquant quel produit, quel magasin ou quel scénario de commande peut être associé à l’utilisateur. Les informations partielles de carte ne suffisent pas nécessairement, à elles seules, à effectuer un paiement, mais elles peuvent servir à inspirer confiance lors de faux échanges avec une banque ou au sujet d’un remboursement. Il convient donc d’évaluer les risques de prise de contrôle de compte, d’hameçonnage et de fraude fondée sur l’adresse, ainsi que la nécessité de surveiller les opérations par carte.

Le périmètre vérifié porte sur l’incident de Locally survenu en octobre 2022 et sur 362 619 comptes concernés. Cette fiche a été intégrée avec le statut « vérifié » à de vastes ensembles de données issues de fuites en juillet 2023. La liste des catégories de données comprend six grands domaines : les adresses e-mail, les données partielles de cartes de crédit, les mots de passe, les numéros de téléphone, les adresses postales et les historiques d’achats. Il est indiqué que l’entreprise a expressément reconnu la fuite, mais on ne sait pas clairement si les clients concernés ont été avertis.

Les numéros complets de cartes de crédit, les codes de sécurité des cartes, les comptes bancaires, les numéros de pièces d’identité officielles et les données de santé ne doivent pas être présentés comme des champs vérifiés dans cette fiche. Le point d’entrée technique de l’incident n’est pas non plus confirmé; les affirmations précises concernant une vulnérabilité, un logiciel malveillant ou un compte d’employé ne doivent pas être présentées comme des faits établis. Cette fiche doit être abordée sous l’angle des comptes clients et des données de transaction. Ainsi, les mesures prises par l’utilisateur reposent sur les risques liés aux champs de données effectivement observés, plutôt que sur des scénarios non vérifiés.

Le risque le plus élevé concerne les personnes qui recherchent des produits auprès de commerces locaux via Locally, passent des commandes et choisissent la livraison ou le retrait en magasin. Si la même adresse e-mail et le même numéro de téléphone sont utilisés pour d’autres comptes d’achat, un attaquant peut tenter de retrouver la personne sur différents services. L’adresse postale peut rattacher l’utilisateur à une ville précise, à la zone desservie par un magasin ou à un itinéraire de livraison. L’historique d’achats rend également les messages ciblés plus crédibles.

Les employés du commerce de détail, les représentants de magasins, les acheteurs réguliers, les personnes qui utilisent le même mot de passe pour plusieurs comptes et celles qui ne surveillent pas régulièrement leurs opérations par carte doivent être particulièrement vigilants. Les informations partielles de carte peuvent notamment être utilisées lors de faux appels du service client demandant à l’utilisateur de fournir les chiffres restants de sa carte. Bien que les empreintes de mots de passe Bcrypt offrent une protection robuste, les mots de passe courts, prévisibles ou déjà utilisés présentent un risque supplémentaire. Les comptes dont le mot de passe est réutilisé doivent donc être vérifiés en priorité.

Si vous possédez un compte Locally, remplacez votre mot de passe par un mot de passe long et unique. Si vous utilisez le même mot de passe, ou un mot de passe similaire, pour d’autres comptes d’achat, de messagerie, de réseaux sociaux ou de paiement, choisissez un nouveau mot de passe différent pour chaque compte. Activez l’authentification à deux facteurs sur les comptes qui la prennent en charge et vérifiez les sessions enregistrées ainsi que les options de récupération du compte. Même si le mot de passe apparaît sous forme d’empreinte, un attaquant peut toujours tenter de l’utiliser sur d’autres sites s’il a été réutilisé.

Examinez vos opérations par carte de crédit et méfiez-vous des appels, SMS ou e-mails qui mentionnent le type de votre carte ou ses quatre derniers chiffres. Si un message se présente comme provenant d’une banque ou d’un magasin et vous demande de vérifier une commande, une livraison, un retour ou une carte, utilisez l’application officielle ou l’adresse connue du site web au lieu de cliquer sur un lien. Puisque l’adresse et le numéro de téléphone sont également visibles, vérifiez par un autre canal les communications inattendues concernant une expédition, un retrait en magasin ou le service client. Si vous constatez un paiement ou une activité de commande suspects, contactez directement l’émetteur de votre carte et le magasin concerné.

À long terme, utilisez pour vos comptes d’achat un alias d’adresse e-mail distinct, un mot de passe unique et, si possible, des notifications de paiement. Éviter de conserver inutilement des cartes enregistrées, d’anciennes adresses et d’anciens numéros de téléphone dans le navigateur ou les comptes des magasins réduit la quantité de données susceptibles d’être exposées. Vérifiez toujours les messages contenant des informations de commande et de livraison depuis les comptes officiels; ne supposez pas qu’une personne travaille pour une banque ou un magasin au seul motif qu’elle connaît les quatre derniers chiffres d’une carte.

Un gestionnaire de mots de passe facilite le repérage des mots de passe réutilisés et la création de mots de passe robustes pour chaque service. Le compte de messagerie jouant un rôle central, sa sécurité doit également être renforcée. Vous pouvez privilégier les notifications instantanées de l’émetteur de votre carte, les plafonds de dépenses et les options de carte virtuelle. D’anciennes données d’achat peuvent être réutilisées dans des messages frauduleux, même des années plus tard; le nettoyage régulier des comptes et le suivi des transactions doivent donc faire partie de vos habitudes de sécurité durables.

Si le résultat pour Locally est positif sur LeakData, cette fiche correspond à l’exposition des données clients et d’achat de Locally en octobre 2022. La première étape consiste à retrouver le compte utilisé sur Locally, ou dans le parcours d’achat d’un magasin affilié, avec l’adresse e-mail concernée. Vérifiez ensuite, point par point, si le mot de passe a été utilisé ailleurs, si le numéro de téléphone et l’adresse enregistrés sont à jour, et si les opérations par carte présentent des transactions inhabituelles.

Les catégories de données vérifiées pour cette fiche de fuite sont les adresses e-mail, les données partielles de cartes de crédit, les informations relatives aux mots de passe, les numéros de téléphone, les adresses postales et les historiques d’achats. Les données relatives aux mots de passe doivent être interprétées comme des empreintes bcrypt; les numéros complets de cartes, les codes de sécurité des cartes, les numéros de comptes bancaires et les numéros de pièces d’identité officielles ne sont pas des champs vérifiés de cette fiche. Les mesures à prendre doivent se concentrer sur la réutilisation des mots de passe, l’hameçonnage ciblé, l’ingénierie sociale fondée sur l’adresse et la surveillance des opérations par carte.