Fuite de données de Minted en 2020

Les catégories de données dont la présence a été vérifiée dans la fuite Minted sont les adresses e-mail, les noms, les mots de passe, les numéros de téléphone et les adresses postales. L’adresse e-mail et le nom peuvent servir à adresser à l’utilisateur des messages convaincants faisant référence à son compte Minted, à son historique de commandes ou à son intérêt pour des produits au design personnalisé. Même lorsqu’un mot de passe est protégé par hachage et salage, un mot de passe faible peut être retrouvé par une attaque par dictionnaire; s’il a été réutilisé sur d’autres comptes, le risque dépasse le cadre de Minted. Les numéros de téléphone offrent un canal supplémentaire pour les fraudes par SMS, les faux appels du service client et les tentatives d’hameçonnage liées à la livraison.

Les adresses postales méritent également une attention particulière : les adresses de facturation et de livraison peuvent servir à créer de fausses notifications d’expédition, de fausses confirmations de paiement, de fausses procédures de retour et des messages d’ingénierie sociale ciblant les membres de la famille. Dans cette fuite, il n’est pas confirmé que des données financières, telles que les numéros de carte de paiement ou les comptes bancaires, aient été touchées. De même, aucune divulgation n’est confirmée pour les contenus privés ajoutés aux carnets d’adresses et aux fichiers de création. L’évaluation des risques doit respecter ces limites et se concentrer sur les mesures à prendre, sans exagérer les menaces réelles.

La date vérifiée retenue est le 6 mai 2020; un résultat associé à Minted ne doit donc pas être interprété comme un nouvel incident survenu en 2025. La circulation ultérieure des enregistrements dans de grands ensembles de données, ou leur réapparition sur différentes listes de surveillance de sécurité, ne change pas la date de l’incident. LeakData recense 4 418 182 comptes uniques. Ce nombre correspond au périmètre vérifié après le partage des données clients de Minted sur des marchés hors ligne.

Les catégories de données se limitent aux adresses e-mail, aux noms, aux mots de passe, aux numéros de téléphone et aux adresses postales. Cette approche évite de susciter une inquiétude inutile tout en vous orientant vers des mesures de sécurité concrètes et pertinentes.

Les personnes les plus exposées sont celles qui réutilisent le mot de passe de leur compte Minted sur d’autres comptes de commerce en ligne, de messagerie, de réseaux sociaux ou de services financiers. Même s’il est haché, un mot de passe faible ou déjà divulgué peut être retrouvé, puis testé sur d’autres sites. Le deuxième groupe particulièrement exposé est celui des clients qui ont communiqué leur adresse de livraison et leur numéro de téléphone. Ces personnes peuvent recevoir de faux messages d’expédition, des alertes d’annulation de commande, des demandes de vérification de compte ou des formulaires frauduleux réclamant des informations de paiement sous prétexte d’un retour.

Le troisième groupe à risque comprend les clients qui utilisent leur compte Minted dans un cadre personnel, par exemple pour des événements familiaux, des mariages, des anniversaires, des faire-part de naissance ou de la décoration intérieure. Les catégories de données divulguées ne comprennent pas de contenus de création dont la présence aurait été vérifiée; toutefois, le contexte des commandes et des échanges peut donner au message de l’attaquant un caractère plus personnel. La combinaison de l’adresse e-mail, du nom, du numéro de téléphone et de l’adresse postale favorise des tentatives de fraude plus convaincantes que de simples messages indésirables. Un changement de mot de passe ne suffit donc pas, à lui seul, à écarter le risque.

Changez immédiatement le mot de passe de votre compte Minted. Si vous l’avez réutilisé sur d’autres comptes, choisissez également un nouveau mot de passe unique pour chacun d’eux. Protégez en priorité votre compte de messagerie, car les liens de réinitialisation des mots de passe passent souvent par e-mail. Activez l’authentification multifacteur sur tous vos comptes critiques lorsque cela est possible, et privilégiez des méthodes plus robustes que les SMS, comme une application de sécurité ou une clé matérielle. Un gestionnaire de mots de passe facilite la création de mots de passe forts et uniques pour chaque compte.

Ne suivez pas directement les liens contenus dans les e-mails et les SMS qui utilisent le nom de Minted ou d’un transporteur. Lorsque vous recevez une notification concernant une commande, une livraison, un retour ou la sécurité des comptes, saisissez vous-même l’adresse du site dans votre navigateur pour effectuer les vérifications nécessaires. Ne communiquez aucun mot de passe, code de vérification ou renseignement de paiement lors d’un appel téléphonique présenté comme un appel d’assistance. Si votre adresse postale est concernée, redoublez de vigilance face aux notifications de livraison et aux fausses demandes liées à une facture. Informez également les membres de votre famille qui partagent cette adresse de la possibilité de recevoir de tels messages.

À long terme, l’utilisation d’alias d’adresse e-mail distincts et de mots de passe uniques pour vos comptes de commerce en ligne, ainsi que leur vérification régulière, réduisent les risques. Vous pouvez limiter les numéros de téléphone, les adresses de livraison et les données personnelles inutiles conservés dans vos anciens comptes d’achat. Une fuite touchant un service peut être exploitée à nouveau dans des campagnes de fraude plusieurs années plus tard : changer le mot de passe au moment de l’incident ne suffit donc pas. Il faut garder à l’esprit que les coordonnées divulguées peuvent rester longtemps en circulation.

La fuite Minted montre que la sécurité des mots de passe et la confidentialité des coordonnées des clients doivent être traitées ensemble sur les plateformes de commerce en ligne. Même lorsqu’un mot de passe est protégé par hachage, des champs comme le numéro de téléphone et l’adresse facilitent la personnalisation des fraudes. Éliminez les mots de passe réutilisés, supprimez les données inutiles de vos anciens comptes, examinez avec prudence les messages de livraison et de retour potentiellement frauduleux, et protégez votre compte de messagerie comme point central de la sécurité de l’ensemble de vos comptes.

Si LeakData signale une correspondance avec Minted, considérez ce résultat comme lié à une fuite de données de comptes clients et de coordonnées survenue le 6 mai 2020. Cette correspondance ne signifie pas nécessairement que la divulgation d’informations de carte de paiement est établie; toutefois, les champs d’adresse e-mail, de nom, de mot de passe haché, de numéro de téléphone et d’adresse postale créent un risque pour la sécurité des comptes et un risque d’ingénierie sociale. Votre première démarche doit être de changer le mot de passe Minted ainsi que celui de tous les comptes sur lesquels vous l’avez réutilisé. Surveillez ensuite plus attentivement votre compte de messagerie, votre ligne téléphonique et les notifications d’expédition.

Face à cette fuite, la bonne approche consiste à cloisonner les mots de passe et à considérer que les coordonnées pourraient servir à des fraudes. Passez en revue, un par un, les services sur lesquels vous avez utilisé la même combinaison d’adresse e-mail et de mot de passe que pour Minted, et modifiez les identifiants concernés. Adoptez un gestionnaire de mots de passe robuste, activez l’authentification multifacteur et maintenez vos options de récupération de compte à jour. Pour vérifier une demande d’action urgente reçue par téléphone ou par e-mail, rendez-vous directement sur le site officiel.