Fuite de données chez Luxottica

Les informations divulguées lors de cet incident permettent d’identifier une personne et de la contacter de manière personnalisée. Combinées, l’adresse e-mail, le numéro de téléphone et l’adresse postale permettent aux attaquants d’envoyer de faux messages concernant une livraison, une garantie, une promotion, une commande de lunettes, un renouvellement de verres ou un compte client auprès d’une enseigne. La date de naissance et les informations relatives au genre rendent les scénarios d’ingénierie sociale plus crédibles. Les mots de passe ne figurant pas parmi les catégories vérifiées, cet incident ne doit pas être assimilé directement à une fuite de mots de passe. Le risque principal tient à la combinaison, à grande échelle, de coordonnées personnelles et à l’exploitation abusive d’anciennes relations commerciales. Si ces mêmes informations peuvent être recoupées avec d’autres listes de données, les tentatives d’hameçonnage peuvent devenir plus ciblées.

La date de la fuite est indiquée comme étant le 16 mars 2021, et celle de son ajout au catalogue comme étant le 19 mai 2023. Le chiffre principal retenu par LeakData est de 77 093 812 comptes uniques. Certains articles sur l’incident mentionnent des nombres plus élevés de lignes de données brutes ou d’enregistrements clients au total. Ces chiffres peuvent différer du nombre de comptes uniques en raison de doublons, d’enregistrements régionaux ou de plusieurs lignes concernant une même personne. Le périmètre principal présenté sur cette page correspond au nombre de comptes uniques pertinents pour les résultats d’une recherche par adresse e-mail, ainsi qu’aux catégories de données vérifiées. Les déclarations de l’entreprise indiquent également qu’aucune information financière, aucun mot de passe, aucune donnée de session ni aucun numéro de sécurité sociale ne sont inclus. Les informations présentées ici restent donc dans ces limites.

Le risque est le plus élevé pour les personnes qui ont effectué des achats auprès de Luxottica ou d’enseignes associées, ou qui ont eu des échanges au sujet de garanties, de services, de lunettes de vue, de lunettes de soleil, de verres, de comptes clients en magasin ou de commandes en ligne. Bien que les données de clients des États-Unis et du Canada soient particulièrement mises en avant dans cet incident, les personnes ayant précédemment détenu des comptes auprès de ces mêmes marques devraient également vérifier leurs propres adresses e-mail. Les fuites contenant des adresses postales et des numéros de téléphone peuvent servir de base à des scénarios de vérification de livraison, de traitement des retours, de coupons promotionnels ou de faux appels d’enquête de satisfaction. Les personnes qui font des achats pour des membres de leur famille, passent des commandes avec une adresse e-mail professionnelle ou utilisent le même numéro de téléphone sur les comptes de différentes enseignes peuvent aussi être indirectement exposées.

Les utilisateurs susceptibles d’être touchés devraient d’abord examiner attentivement les messages inattendus reçus par e-mail concernant une enseigne, une livraison, une garantie ou une campagne promotionnelle. Plutôt que de cliquer sur les liens contenus dans ces messages, il convient de saisir manuellement le nom de domaine officiel. Il ne faut pas ouvrir de pièces jointes inattendues ni communiquer de codes de vérification demandés par téléphone. Dans cet incident, les mots de passe ne font pas partie des catégories de données vérifiées. Il reste néanmoins préférable d’utiliser des mots de passe uniques et l’authentification multifacteur pour les comptes clients, de paiement et de messagerie associés à la même adresse e-mail. L’exposition de l’adresse postale impose également de rester vigilant face aux faux avis d’expédition, aux demandes de confirmation d’adresse et aux demandes de paiement de frais de retour ou de douane. Toute prise de contact suspecte doit être vérifiée auprès des canaux d’assistance habituels.

Le risque lié à ce type d’incident touchant les données de clients d’enseignes peut persister longtemps, car des informations comme le nom, l’adresse e-mail, le numéro de téléphone et l’adresse postale changent rarement. Les utilisateurs devraient fermer les comptes clients inutilisés, limiter les consentements accordés à des fins de marketing et revoir régulièrement leurs anciens profils d’achat associés à la même adresse e-mail. Du côté des organisations, il convient de renforcer le contrôle des accès des prestataires tiers, des durées de conservation des données clients, des autorisations d’exportation et des audits portant sur les partages inhabituels de données. Les données clients conservées devraient être limitées au minimum, les jeux de données régionaux séparés et les notifications d’incident rédigées clairement. Cette approche réduit l’impact d’un incident similaire à l’avenir et permet aux clients de mieux comprendre les mesures à prendre.

Vous pouvez vérifier si votre adresse e-mail apparaît dans la fuite de données de Luxottica en effectuant une recherche sur LeakData. Si une correspondance est trouvée, gardez votre calme et concentrez-vous sur la réduction du risque de fraude fondée sur vos coordonnées. Utilisez des mots de passe uniques pour vos comptes clients, vos comptes de messagerie et vos services de paiement, activez l’authentification multifacteur et vérifiez les appels ou messages suspects auprès de canaux officiels connus. Ne communiquez pas d’informations supplémentaires en réponse à des demandes inattendues de vérification de votre adresse ou de votre numéro de téléphone. Si vous avez utilisé la même adresse e-mail pour des comptes familiaux, professionnels ou d’anciens comptes d’achat, vérifiez également ces comptes. Ces mesures réduisent la probabilité que les données clients de 2021 soient réutilisées aujourd’hui pour des messages ciblés et des prises de contact par de faux services d’assistance.