Fuite de données chez SHEIN

Les principaux types de données vérifiés pour SHEIN sont les adresses e-mail et les mots de passe. L’adresse e-mail aide les attaquants à préparer de fausses offres promotionnelles, notifications de livraison, coupons de réduction, demandes de retour ou messages de vérification de compte ciblant la personne concernée. Le champ du mot de passe est également important, car il est stocké sous la forme d’une empreinte MD5. MD5 est considéré comme faible au regard des normes actuelles; les mots de passe courts, prévisibles ou déjà utilisés peuvent être facilement retrouvés.

Une fois le mot de passe retrouvé, le danger ne se limite pas à un seul compte d’achat. Si le même mot de passe est utilisé pour des comptes de messagerie, de réseaux sociaux, de paiement non bancaire, de jeux, scolaires ou professionnels, les attaquants peuvent tenter d’accéder à d’autres comptes au moyen de tentatives de connexion automatisées. Lorsqu’une adresse e-mail est associée à des habitudes d’achat, les tentatives d’hameçonnage, telles que les faux messages d’expédition, formulaires de retour, messages usurpant l’identité du service client et liens de réduction, deviennent plus convaincantes.

La fuite de données date de juin 2018. L’ensemble vérifié de données de comptes contient 39 086 762 adresses e-mail uniques. L’incident a ensuite été considéré comme un problème plus large de sécurité des clients dans le cadre d’enquêtes officielles, selon lesquelles 39 millions de comptes SHEIN avaient été touchés et l’incident avait initialement été présenté comme plus limité. Le résultat de la vérification « Sécurité des comptes » sur cette page porte sur la présence de l’adresse e-mail de l’utilisateur dans l’ensemble vérifié d’adresses e-mail et de mots de passe.

Les catégories de données sont donc limitées aux adresses e-mail et aux mots de passe. Bien qu’un examen officiel ait relevé que l’incident soulevait aussi d’autres préoccupations de sécurité liées aux opérations de paiement, les champs indiqués ici représentent les principaux champs dont la présence peut être vérifiée lors d’une recherche de compte. Ne pas fournir à l’utilisateur des détails non confirmés ou qui ne s’appliquent pas à tous les comptes évite de donner une perception erronée du risque et met l’accent sur les mesures de sécurité des comptes liées aux mots de passe.

Le principal groupe à risque est constitué des personnes qui possèdent un compte SHEIN, utilisent la même adresse e-mail sur d’autres sites marchands ou réutilisent leur mot de passe sur plusieurs services. Les utilisateurs qui répondent souvent à des messages concernant des réductions, des coupons, des expéditions, des retours ou le service client sont particulièrement vulnérables aux tentatives de fraude ciblées. Le risque peut être plus marqué chez les jeunes utilisateurs, les acheteurs réguliers et les personnes qui cliquent sur des liens promotionnels via les réseaux sociaux.

Les utilisateurs qui réutilisent leurs mots de passe font partie du groupe le plus exposé. Les attaquants peuvent essayer les combinaisons d’adresses e-mail et de mots de passe obtenues sur différentes plateformes. Si le mot de passe du compte de messagerie suit le même schéma, les attaquants peuvent tenter d’accéder aux procédures de réinitialisation des mots de passe d’autres comptes. Comme les comptes d’achat peuvent contenir des informations supplémentaires, telles que des adresses enregistrées, des numéros de téléphone ou des habitudes de paiement, le risque de fraude, d’utilisation abusive des commandes et de fausses demandes de remboursement augmente après la prise de contrôle du compte.

Vous devez immédiatement changer le mot de passe de tous les comptes sur lesquels vous utilisez le même mot de passe que sur SHEIN, ou un mot de passe similaire. Le nouveau mot de passe doit être unique, long et conservé dans un gestionnaire de mots de passe. La priorité doit être donnée aux comptes de messagerie, aux comptes de paiement, aux autres sites marchands, aux réseaux sociaux et aux comptes liés au numéro de téléphone. Reprendre l’ancien mot de passe en y apportant de petites modifications ne suffit pas; les attaquants peuvent aussi tenter d’en déduire des mots de passe similaires.

L’authentification multifacteur doit être activée sur tous les comptes qui la proposent. Les sessions actives, les appareils enregistrés, les commandes récentes, les adresses enregistrées et les informations de récupération du compte doivent être vérifiés. Le nom de domaine doit être examiné attentivement avant de cliquer sur un lien dans un e-mail prétendant provenir de SHEIN ou dans une notification liée à un achat. Les messages concernant des frais de livraison, des coupons de réduction, des problèmes de paiement, des confirmations de retour ou une vérification de compte doivent être considérés comme particulièrement suspects.

L’incident SHEIN montre que les comptes de commerce en ligne peuvent servir à des tentatives de vérification d’identité, même des années plus tard. Utiliser des mots de passe distincts pour les comptes d’achat, les comptes financiers, les réseaux sociaux et la messagerie constitue une protection fondamentale. L’utilisation d’un gestionnaire de mots de passe, la suppression régulière des anciens mots de passe, la fermeture des comptes inutiles et la mise à jour des options de récupération des comptes réduisent le risque à long terme.

Il est également important de supprimer des comptes d’achat les adresses inutiles, les anciens moyens de paiement et les numéros de téléphone qui ne sont plus utilisés. Le compte de messagerie doit être régulièrement vérifié afin de repérer d’éventuels transferts automatiques suspects, adresses de récupération inconnues ou sessions inhabituelles. Dans les entreprises, la formation visant à empêcher les salariés de réutiliser sur leurs comptes professionnels les mots de passe de leurs comptes d’achat personnels, les vérifications de mots de passe divulgués et les politiques d’authentification supplémentaires offrent une protection durable.

Si un résultat SHEIN apparaît dans la vérification « Sécurité des comptes », cela signifie que l’adresse e-mail concernée figure dans l’ensemble vérifié de données de comptes associé à la fuite de données de SHEIN de 2018. Ce résultat ne signifie pas que votre compte SHEIN actuel a été compromis; il indique toutefois que les informations d’adresse e-mail et de mot de passe utilisées par le passé peuvent avoir fait l’objet d’une utilisation abusive. Il ne faut pas remettre les mesures de protection à plus tard, surtout si le même mot de passe a été utilisé sur d’autres comptes.

Vous devez d’abord sécuriser votre compte de messagerie, puis changer, un par un, les mots de passe de tous les comptes qui utilisent le même mot de passe. En cas de commande suspecte, d’adresse inconnue, de message inattendu de réinitialisation du mot de passe ou de session non reconnue, vous devez fermer les sessions du compte concerné et demander un examen de sécurité auprès du service d’assistance. Cesser complètement de réutiliser les mots de passe, activer l’authentification multifacteur et faire preuve de prudence face aux messages liés aux achats sont les mesures les plus efficaces que les utilisateurs peuvent prendre à la suite de cette fuite.