Previous Story
Fuite de données pour une importante boutique en ligne française ?
Un pirate informatique commercialise une base de données contenant plusieurs dizaines de milliers de clients français. Ces derniers auraient acheté des appareils électroniques chez CDiscount et Darty.
Une nouvelle découverte du Service Veille ZATAZ vient de mettre en alerte une grande partie de l’équipe du SVZ.
Un pirate informatique annonce la commercialisation d’une base de données de plus de 45 000 de français. « Des Français qui ont récemment acheté des appareils électroniques » explique ce malveillant. Ce qui nous inquiète chez ZATAZ : ce voyou 2.0 affiche avoir toujours accès à ce qui lui permet de collecter les données « Notre de base de données augmentera avec le temps » confie-t-il dans son espace de vente.
ZATAZ a pu récolter plusieurs échantillons
Ce pirate a diffusé deux fichiers d’échantillons. J’ai pu y constater des identités et des adresses postales. Deux grandes enseignes apparaissent dans les logs : CDiscount et Darty. Les adresses électroniques de chaque client semblent être des mails générés par l’entreprise (Clemarche.com et notification.mirakl.net). Parmi les autres données constatées « statuts du paiement » ; « date d’achat » ; « téléphone » … Heureusement, aucunes données bancaires.
A noter que les dates repérées dans les échantillons courent sur la fin du mois de novembre. Cela semble impacter les produits « d’occasion » pour un fichier d’échantillons.
Le pirate affirme posséder toutes les informations depuis 2019. Il commercialise son document 400 dollars US.
Le DPO de CDiscount a été alerté, ainsi que les membres du service veille ZATAZ potentiellement concernés.
Mise à jour : la société CDiscount a répondu à mes questions et alerte. L’un des vendeurs présent sur le marketplace de l’entreprise de vente en ligne a été la cible d’un acte de malveillance externe à CDiscount « traduit par le vol de données clients (historique des commandes, etc.)« . L’équipe de cybersécurité avait rapidement repéré cet incident et a immédiatement réinitialisé le mot de passe de ce partenaire. « Aucune donnée bancaire n’a été absorbée, dans la mesure où le vendeur ne possède pas ce type d’informations. » Cdiscount ne stocke pas ces données.
Bonjour, je vous suis avec beaucoup d’intérêt, et je dois dire que votre dernier message sur darty et cdiscount m’ont fait réagir, en envoyant un mail a ces 2 entreprises, demandant pourquoi nous n’avons pas été prévenu, et en envoyant le lien de votre article très intéressant.
Pour le moment seul Darty a pris le temps de répondre en niant, voici ce qu’ils me dise:
« Bonjour, je tiens à vous rassurer, nos services n’ont nullement connaissance d’une telle fuite d’informations, et auquel cas, un email aurait été adressé à l’intégralité de nos clients, comme lorsqu’une tentative de phishing est repéré par notre service dédié. Je vous rassure, il n’en est rien. Vous pouvez, si vous le souhaitez, demander à faire un point sur vos données enregistrées chez nous, par le biais du formulaire mis en place à cet effet, voici le lien : http://[modifié par zataz]
Younès H. »
N’ont ils vraiment pas connaissance de cette fuite?
Merci, et bonnes fêtes de fin d’année
Bonjour Fred,
Peut-être que le partenaire fautif n’a pas alerté Darty.
CDiscount était bien au courant du sujet.
Cordialement