Fuite de données chez Pandabuy

Lorsque l’adresse e-mail, le nom, le numéro de téléphone, l’adresse postale et l’adresse IP sont réunis, il devient possible d’identifier avec un degré élevé de certitude le profil d’achat d’un utilisateur. Dans les parcours d’achat transfrontaliers comme ceux de Pandabuy, les utilisateurs sont habitués aux messages concernant les colis, les douanes, les entrepôts, les retours et les mises à jour relatives aux paiements.

Lorsque des champs tels que le nom, l’adresse e-mail, le numéro de téléphone, l’adresse, le nom d’utilisateur ou la localisation sont réunis, les attaquants peuvent préparer des messages donnant l’impression que l’utilisateur entretient une véritable relation avec le service qui les envoie. Ces informations ne signifient pas à elles seules qu’un compte a été compromis; elles peuvent toutefois servir à des tentatives d’hameçonnage, à de fausses demandes d’assistance, à des notifications de livraison, à des demandes de vérification de compte et à des scénarios d’escroquerie personnalisés. La fiche ne mentionne pas de champs contenant des mots de passe ou des données complètes de cartes de paiement. Néanmoins, les adresses et les numéros de téléphone peuvent être utilisés pour de faux messages d’expédition, de fausses demandes de règlement de frais de douane ou d’entrepôt, ou de faux liens de retour. L’adresse IP peut également rendre plus crédibles de fausses alertes techniques de sécurité envoyées à l’utilisateur.

La date de l’incident est enregistrée au 31 mars 2024, et le nombre d’adresses e-mail concernées est de 1 348 407. Des sources d’information fiables spécialisées dans la sécurité rapportent que les données ont été partagées sur un forum et comprenaient notamment des adresses IP et postales, des noms, des numéros de téléphone et des demandes relatives aux commandes. Les catégories de données actuellement répertoriées sont compatibles avec ce périmètre.

La présentation du périmètre ne doit pas laisser entendre que les détails complets des commandes ou les informations de paiement de chaque utilisateur ont été exposés. Le risque à retenir tient à l’association d’informations sur les achats et les livraisons avec les coordonnées des utilisateurs. Vous devez vérifier les messages, en particulier ceux qui concernent l’expédition et les douanes, par un autre canal.

Les utilisateurs à risque sont ceux qui ont ouvert un compte, passé une commande ou communiqué une adresse d’entrepôt ou de livraison par l’intermédiaire de Pandabuy. Les personnes qui effectuent des achats à l’international étant habituées aux messages concernant les douanes, l’expédition et les paiements, les attaques ciblées peuvent avoir davantage de succès.

Les utilisateurs dont le numéro de téléphone et l’adresse sont à jour peuvent être ciblés par SMS, par e-mail et par téléphone. L’adresse IP peut être utilisée dans de faux messages de sécurité ou de notification de session. Les personnes qui partagent leurs achats Pandabuy dans des communautés sur les réseaux sociaux peuvent également être exposées à un risque de rapprochement entre profils.

Si votre adresse e-mail figure dans ce jeu de données, vérifiez que vous utilisez un mot de passe unique pour votre compte Pandabuy et modifiez les mots de passe de tous vos comptes d’achat ou de paiement qui utilisent le même. Vérifiez les messages concernant l’expédition, les douanes, les frais d’entrepôt ou les retours depuis le tableau de bord officiel.

Au lieu d’ouvrir directement les liens reçus, connectez-vous au service concerné en passant par son adresse web connue ou son application officielle. Le fait qu’un interlocuteur au téléphone connaisse votre nom, votre adresse e-mail, votre adresse postale ou des informations sur votre commande ou votre profil ne prouve pas qu’il est digne de confiance. Ne communiquez jamais de codes de vérification à usage unique, de données de carte de paiement ou de mots de passe de compte lors d’un échange avec un service d’assistance.

À long terme, l’utilisation régulière d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification à deux facteurs, ainsi que la suppression des informations personnelles inutiles dans les comptes, réduisent les risques. Réutiliser la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de plusieurs fuites; vous pouvez donc envisager d’utiliser une adresse e-mail distincte ou un alias pour vos comptes critiques.

Dans vos comptes d’achat transfrontalier, supprimez les anciennes adresses, les numéros de téléphone inutilisés et les communications inutiles relatives aux commandes. Suivez les paiements et les expéditions uniquement depuis les comptes officiels et ne faites pas confiance aux demandes d’assistance provenant de contacts sur les réseaux sociaux.

La vérification LeakData indique si l’adresse e-mail recherchée figure dans ce jeu de données. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur; il constitue toutefois un avertissement suffisant pour prendre des précautions. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas que l’adresse figure dans d’autres fuites.

Un résultat positif indique un risque accru de fraude liée aux achats et aux livraisons. Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans ce jeu de données; la même adresse e-mail doit être vérifiée séparément dans d’autres jeux de données liés au commerce en ligne.