Fuite de données chez Neiman Marcus en 2024

Le vaste jeu de données validé comprenait des adresses e-mail, des noms, des numéros de téléphone, des dates de naissance, des adresses postales, des adresses IP, des informations sur les achats et des données partielles de cartes de paiement. Ensemble, ces éléments peuvent aider un attaquant à rendre un message frauduleux crédible. Un nom, des coordonnées et un historique d’achats peuvent servir à imiter des notifications de livraison, de retour, de service client ou de paiement, avec un niveau de personnalisation que les messages indésirables génériques n’offrent pas.

La présence de données partielles de cartes de paiement a été signalée, mais ces informations ne suffisaient pas, à elles seules, à effectuer un achat. Elles peuvent néanmoins accroître le risque de recevoir des messages convaincants demandant des renseignements sur un compte ou une carte. Les notifications officielles adressées aux consommateurs mentionnaient également, pour certaines personnes, des numéros de cartes-cadeaux sans code PIN. Ces différences ne signifient pas que les mêmes données ont été exposées pour tout le monde : les conséquences pour chaque personne dépendent de l’historique de son compte et des informations détenues au moment de l’incident.

Un accès non autorisé a été signalé durant la période d’avril à mai 2024, et l’incident a été découvert en mai. Le chiffre de 31 152 842 correspond au nombre d’adresses e-mail uniques dans un jeu de données validé. Il ne s’agit pas du nombre de lignes de commande, d’opérations de paiement ou de profils clients individuels complets. Une même personne peut apparaître dans plusieurs transactions, tandis que certaines lignes peuvent ne contenir aucune adresse e-mail.

Les 64 472 personnes ayant reçu une notification officielle constituent une population différente, qui ne doit pas être assimilée au nombre d’adresses e-mail uniques. Les notifications précisaient également que les données variaient selon les personnes. C’est pourquoi les huit catégories de données présentées ici se limitent aux champs dont la présence a été confirmée dans le vaste jeu de données validé; les détails des notifications individuelles ne sont pas présumés s’appliquer à tout le monde. Distinguer ces mesures permet d’éviter de sous-estimer ou de surestimer le risque.

Les personnes ayant effectué des achats en ligne, communiqué des coordonnées ou une adresse de livraison, ou utilisé des cartes-cadeaux peuvent faire face à des tentatives de fraude plus convaincantes. Les informations sur les achats peuvent servir à imiter des communications concernant un produit, une livraison, un retour ou un programme de fidélité. Lorsqu’un nom est associé à un numéro de téléphone et à une adresse postale, un attaquant peut personnaliser davantage son message. Un nom d’expéditeur familier ne suffit donc pas à justifier la confiance accordée à une demande.

Le risque augmente aussi pour toute personne ayant réutilisé le même mot de passe sur un autre service. Lorsqu’un compte de messagerie, un service de paiement ou un compte client ne dispose pas d’un mot de passe robuste qui lui est propre, les coordonnées exposées peuvent servir de point de départ à de nouvelles tentatives de connexion. Les anciens comptes clients méritent eux aussi votre attention : un compte qui n’est plus utilisé peut encore conserver des coordonnées actuelles ou des préférences de paiement.

Changez immédiatement les mots de passe réutilisés sur un compte client lié à cette enseigne ou sur tout autre service. Choisissez un mot de passe long et unique pour chaque compte et activez l’authentification multifacteur. Un gestionnaire de mots de passe réduit le risque de réutiliser un mot de passe. Vérifiez également les adresses e-mail et les numéros de téléphone servant à la récupération des comptes; sécurisez le compte si vous constatez une modification que vous ne reconnaissez pas.

Vérifiez l’activité de vos cartes de paiement, de vos comptes bancaires, de vos cartes-cadeaux et de vos comptes clients. Contactez le prestataire concerné par un canal connu si vous repérez une transaction, une redirection de livraison, un changement d’adresse ou un mouvement sur le solde d’une carte-cadeau que vous ne reconnaissez pas. Ne suivez pas les liens contenus dans des messages urgents de paiement ou de vérification reçus par e-mail, par SMS ou par téléphone. Le fait que l’appelant ou l’expéditeur connaisse des renseignements personnels ne prouve pas que sa demande est légitime.

Pour renforcer durablement votre sécurité, utilisez un mot de passe unique et l’authentification multifacteur pour chaque service, plutôt que de vous en remettre uniquement à des changements périodiques de mots de passe. Protégez tout particulièrement votre compte de messagerie principal, car les messages de réinitialisation des mots de passe y sont généralement envoyés. Lorsque c’est possible, utilisez une application d’authentification ou une clé de sécurité physique, et conservez les codes de récupération hors ligne, dans un endroit dont l’accès est limité.

Supprimez de vos comptes clients les anciennes adresses, les préférences de paiement et les cartes-cadeaux inutilisées lorsque vous n’en avez plus besoin. Vérifier régulièrement vos rapports de crédit, vos opérations bancaires et les alertes de vos comptes peut vous aider à détecter plus tôt des signes d’utilisation frauduleuse de votre identité. Ne jugez pas un message uniquement sur sa formulation ou sur le nom d’expéditeur affiché; rendez-vous vous-même sur le site officiel ou utilisez un canal d’assistance connu pour vérifier une demande.

Recherchez votre adresse e-mail dans l’outil de recherche de fuites de données. Si elle est trouvée, cela signifie qu’elle figure dans le jeu de données validé; ce résultat ne prouve pas, à lui seul, qu’un tiers a pris le contrôle d’un compte client actif ou qu’un débit par carte a eu lieu. Il constitue néanmoins un signal utile pour vérifier vos mots de passe, activer l’authentification multifacteur et surveiller l’activité de vos comptes.

Si votre adresse est trouvée, donnez la priorité aux comptes importants liés à cette même adresse e-mail : votre messagerie principale, vos services de paiement, vos comptes clients et les autres moyens de récupération de compte. Contactez sans délai le prestataire concerné par son canal d’assistance officiel si vous constatez une connexion, un changement d’adresse, une commande ou une consultation de votre dossier de crédit que vous ne reconnaissez pas. Ces mesures réduisent votre exposition actuelle au risque et aident à repérer rapidement toute utilisation frauduleuse ultérieure.