Fuite de données chez LuLu

Dans cet incident, la présence d’un champ de mot de passe aux côtés des coordonnées augmente considérablement le risque. Même si les mots de passe ne figurent pas en clair, les attaquants peuvent tenter de les retrouver à partir de leurs empreintes de hachage. Si le même mot de passe est utilisé sur d’autres comptes, cela peut entraîner des tentatives de prise de contrôle de ces comptes. Les champs contenant l’adresse e-mail, le numéro de téléphone et l’adresse postale permettent également de cibler l’utilisateur par différents canaux.

Les informations sur les achats peuvent donner des indications sur l’historique des commandes de l’utilisateur et le contexte de livraison. Elles peuvent servir à élaborer de faux messages concernant des expéditions, des retours, des coupons de réduction pour les courses alimentaires, des points de fidélité, des mises à jour de commande ou des livraisons de produits. Les données complètes des cartes de paiement ne figurent pas dans cette fiche. Toutefois, le rapprochement des informations sur les achats et les adresses peut rendre les tentatives de fraude plus convaincantes.

La fiche indique que l’incident date du 6 juillet 2024 et recense 2 796 835 enregistrements concernés. Selon les premières informations publiques consacrées à la sécurité, les données d’environ 196 000 clients ont été partagées, puis une sauvegarde plus volumineuse de la base de données est également apparue. Les catégories de données présentes sont cohérentes avec cet élargissement du périmètre, et la fiche conserve son statut vérifié.

Pour décrire le périmètre, il convient de distinguer deux niveaux : la première fuite visible contient des informations limitées sur les clients, tandis que le jeu de données plus volumineux apparu ensuite comprend davantage d’adresses e-mail et d’éléments relatifs aux commandes. Il ne faut pas s’attendre à ce que tous les champs soient renseignés dans chaque ligne. Par ailleurs, la présence de mots de passe hachés ne signifie pas que le mot de passe de l’utilisateur est automatiquement connu. Elle impose néanmoins de prendre des mesures urgentes contre la réutilisation des mots de passe.

Les utilisateurs à risque sont les clients qui ont créé un compte, passé une commande ou communiqué leur numéro de téléphone et leur adresse de livraison sur la boutique en ligne de LuLu ou sur les canaux d’achat numériques associés. Le risque est plus élevé pour ceux qui utilisent le même mot de passe pour leur messagerie, leurs comptes bancaires, leurs réseaux sociaux ou d’autres comptes d’achat.

Les achats courants et les courses alimentaires étant fréquents, les utilisateurs sont habitués aux messages concernant les livraisons, les promotions ou les programmes de fidélité. Les attaquants peuvent exploiter des thèmes comme les numéros de commande, les retards de livraison ou les coupons de réduction dans de faux messages utilisant des noms et des numéros de téléphone réels. Il convient donc d’examiner avec prudence les liens reçus par SMS ou dans les applications de messagerie.

Si la vérification révèle une correspondance avec vos données, changez immédiatement le mot de passe de votre compte LuLu, puis attribuez un mot de passe distinct à chacun des autres comptes sur lesquels vous utilisiez le même. Générer un mot de passe unique à l’aide d’un gestionnaire de mots de passe est la mesure la plus importante pour éviter que cet incident ne touche d’autres comptes. Activez l’authentification à deux facteurs sur tous les comptes qui le permettent.

Si un message vous invite à effectuer une démarche liée au suivi d’un colis, à un remboursement, à des points de fidélité, à des chèques-cadeaux ou à une correction de paiement, vérifiez-la dans l’application officielle ou à une adresse web connue avant de cliquer sur un lien. Même si votre interlocuteur connaît votre nom, votre adresse ou des informations sur une commande précédente, ne communiquez ni vos codes de vérification ni vos informations de paiement. Si vous constatez une transaction suspecte, informez votre banque et la plateforme concernée par un autre canal.

À long terme, évitez toute réutilisation de mots de passe sur vos comptes d’achat. L’utilisation d’alias d’adresse e-mail distincts pour les sites marchands permet de repérer plus facilement la plateforme à l’origine d’un risque. Supprimer les adresses inutilisées, les anciens numéros de téléphone et les informations de livraison enregistrées qui ne sont plus nécessaires réduit également la quantité de données susceptibles d’être exposées lors de futures fuites.

Lorsqu’une fuite comprend des mots de passe hachés, protéger uniquement le compte de la boutique concernée ne suffit pas. Il faut examiner séparément le compte de messagerie de l’utilisateur, ses services de paiement, ses comptes auprès des services de livraison et tous les services sur lesquels le même mot de passe est utilisé. Maintenez à jour l’adresse e-mail et le numéro de téléphone servant à la récupération de vos comptes, et activez les alertes de connexion suspecte.

La vérification effectuée sur LeakData indique si votre adresse e-mail figure dans les données associées à la fuite de LuLu. Si le résultat est positif, cessez immédiatement de réutiliser vos mots de passe et méfiez-vous des faux messages d’expédition ou de promotion, en considérant que votre numéro de téléphone et votre adresse pourraient être utilisés à des fins malveillantes.

Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans cette fiche. Il ne prouve pas que tous vos comptes d’achat sont sécurisés. Vérifiez régulièrement si la même adresse e-mail apparaît dans d’autres fuites de données, et adoptez systématiquement des mots de passe robustes et la vérification en deux étapes pour vos comptes d’achat.