Fuite de données chez Romwe

Les catégories de données vérifiées sont les adresses e-mail, les noms, les numéros de téléphone, les adresses IP, les adresses postales, les localisations et les empreintes de mots de passe. Cette fiche recense 19 531 820 adresses e-mail uniques, tandis qu’une enquête menée par une autorité de régulation a fait état du vol d’identifiants de connexion pour plus de sept millions de comptes ROMWE. Ces chiffres proviennent de sources différentes et correspondent à des niveaux de granularité différents; ils ne doivent pas être additionnés ni présentés comme 19,5 millions de comptes clients confirmés. Les adresses e-mail et les empreintes de mots de passe présentent des risques de prise de contrôle de comptes et d’exploitation d’identifiants réutilisés, tandis que les noms et les numéros de téléphone facilitent les fraudes personnalisées. Les adresses, les localisations et les adresses IP peuvent rendre les messages concernant des achats ou des livraisons plus convaincants. Les numéros de carte de paiement ne font pas partie des catégories de données vérifiées pour ROMWE. Les constats concernant les cartes dans le cadre de l’enquête plus large sur l’exploitant ne sont donc pas attribués à cette fiche.

Zoetop Business Company, Ltd., l’exploitant de ROMWE, a été la cible d’une cyberattaque en juin 2018 qui a atteint son réseau interne. Selon un avis publié par l’entreprise, des identifiants ROMWE auraient pu être dérobés en juillet, tandis que l’enquête de l’autorité de régulation a conclu qu’ils avaient probablement été exfiltrés lors de cette même attaque de 2018. Le jour exact n’ayant pas été communiqué, cette fiche utilise le 1er juin comme date de référence à l’échelle du mois. L’entreprise a découvert des identifiants ROMWE en ligne le 7 septembre 2020, a réinitialisé les mots de passe concernés et a averti les utilisateurs. Les mots de passe du jeu de données examiné ont été décrits comme des empreintes SHA-1 salées. Les empreintes ne sont pas du texte en clair, mais SHA-1 n’est pas adapté au stockage des mots de passe, et les mots de passe faibles peuvent être retrouvés hors ligne. L’attaque a également touché une autre marque et des systèmes de paiement exploités par l’entreprise; les éléments disponibles restent insuffisants pour établir que des informations de carte figuraient dans ce jeu de données ROMWE.

Les personnes ayant créé un compte ROMWE avant la mi-2018 et fourni un nom, un numéro de téléphone, une adresse e-mail ou une adresse de livraison constituent le principal groupe à risque. Le risque est plus élevé si le même mot de passe a été réutilisé pour une messagerie, un réseau social ou une autre boutique, car les attaquants peuvent tester ces identifiants ailleurs. Les données du compte, combinées à l’adresse et au numéro de téléphone, peuvent servir à créer de faux messages au sujet de livraisons, de problèmes de commande, de remboursements, de coupons de réduction, de frais de douane ou de vérifications. Un compte abandonné reste un enjeu : l’adresse e-mail et le numéro de téléphone peuvent rester valables pendant des années, tandis qu’une ancienne adresse peut faciliter l’ingénierie sociale. Une correspondance dans le jeu de données ne prouve pas que tous les champs mentionnés figuraient dans l’enregistrement de cette personne, que son mot de passe a été retrouvé ou que son compte a été utilisé abusivement. L’exposition des données, la récupération du mot de passe et la compromission confirmée sont des situations distinctes qui ne doivent pas être confondues dans une seule affirmation.

Si vous n’avez pas changé votre mot de passe ROMWE après l’incident, ou si vous avez réutilisé un mot de passe similaire ailleurs, identifiez les comptes concernés et attribuez à chacun un mot de passe fort et unique. Sécurisez en priorité votre messagerie, car c’est là que vous recevez les liens de réinitialisation, et l’accès à votre boîte de réception peut permettre de prendre le contrôle d’autres services. Activez l’authentification multifacteur lorsqu’elle est proposée, vérifiez les informations de récupération et fermez les sessions que vous ne reconnaissez pas. Vérifiez l’historique des commandes ROMWE, les adresses de livraison et les moyens de paiement enregistrés; même si la présence de numéros de carte n’est pas vérifiée dans ce jeu de données, signalez les transactions suspectes à votre banque. Pour les messages concernant une expédition, un retour, une réduction ou une suspension, examinez le véritable domaine de l’expéditeur et la destination des liens. N’ouvrez pas de pièces jointes inattendues, ne vous connectez pas depuis un lien reçu dans un message et ne communiquez pas de code à usage unique. Si vous constatez une modification non autorisée, sécurisez le compte et contactez le service par son canal d’assistance officiel.

Un gestionnaire de mots de passe qui crée un mot de passe différent pour chaque service limite le risque qu’une fuite de données chez un commerçant ait des répercussions sur d’autres comptes. Activez les alertes de fuite de données et de mots de passe faibles, et privilégiez une application d’authentification ou une clé matérielle pour l’authentification multifacteur. Des alias d’adresse e-mail distincts pour vos achats peuvent vous aider à repérer où une adresse a été partagée et à détecter plus facilement les fraudes. Ne conservez que les informations nécessaires aux livraisons et aux transactions; supprimez les adresses, les numéros de téléphone et les applications connectées devenus obsolètes. Envisagez de supprimer les comptes que vous n’utilisez plus et vérifiez que leur suppression a bien été effectuée. Consultez régulièrement l’activité de vos comptes bancaires et les alertes de sécurité, mais ne vous fiez pas à un lien reçu par e-mail; utilisez l’application officielle ou saisissez directement l’adresse du site. Les anciens jeux de données peuvent être croisés avec des informations plus récentes. L’ancienneté de cet incident ne dispense donc pas de maintenir de bonnes pratiques de sécurité des comptes et de rester vigilant face à l’hameçonnage.

Une correspondance pour une adresse e-mail signifie que celle-ci figurait dans le jeu de données associé à ROMWE, qui contient 19 531 820 adresses uniques. Elle ne permet pas de déterminer auquel des plus de sept millions d’enregistrements d’identifiants de connexion confirmés par l’enquête elle correspond, si le compte est toujours ouvert ou si le mot de passe est visible en clair. En cas de correspondance, vérifiez si vous avez réutilisé votre mot de passe de 2018 ailleurs; sécurisez d’abord votre messagerie, puis les comptes utilisant le même ancien mot de passe ou un mot de passe similaire. L’absence de correspondance n’est pas une garantie de sécurité absolue : vous avez peut-être utilisé une autre adresse lors de votre inscription, ouvert le compte plus tard ou été concerné par un autre incident non vérifié. Associez ces vérifications aux alertes de votre gestionnaire de mots de passe, à l’authentification multifacteur et à l’examen des sessions actives. Pour les messages suspects, évaluez conjointement le véritable domaine de l’expéditeur, la destination des liens, la pression exercée pour vous faire agir et les demandes de paiement ou de codes de vérification. Vous transformez ainsi un résultat portant sur un incident passé en une pratique de sécurité continue.