Mint Energie corrige une fuite de données clients

Une fuite de données peut-être multiple, variée… Via un piratage, une sauvegarde malencontreuse ou un confort technique client qui mériterait l’anonymisation. C’est se dernier cas que vient de vivre la société Mint Energie en bouchant une fuite particulière de mails.

Fuite de données transversale ! C’est un nouveau Protocole d’Alerte ZATAZ qui vient d’être couronné de succès, et cela en à peine quelques heures. Je tiens d’ailleurs à saluer la rapidité d’action (mail, réponse, correction) de Mint Energie. Sa fuite de données était dès plus particulière, mais pas si rare que cela.

Un client souhaite réinitialiser son mot de passe via le site de l’opérateur d’électricité verte. Il doit se rendre sur la page dédiée : connexion. En choisissant l’option réinitialisation du mot de passe, il faut fournir son numéro de référence client. Une donnée simple à trouver, elle est sur la facture. Une fois les 8 chiffres copiés, le mail client attenant à ces chiffres apparaissait, en clair, dans la page de réinitialisation.

Accès aux autres mails clients

Plus problématique, il n’était pas nécessaire, avant la correction, d’être client pour accéder à l’information. Un incrémentant/décrémentant (+1/-1) les numéros, les mails des autres utilisateurs apparaissaient. Une fuite exploitable par des concurrents ou des escrocs. Une fois le numéro de contrat et le mail attenant connus, un phishing ciblé aurait pu faire de gros dégât (téléchargement d’une fausse facture avec code malveillant, récupération des identifiants de connexion, …).

A ma connaissance, cette possibilité d’interception n’était pas connue par des pirates. Le Service Veille de ZATAZ n’a pas aperçu d’informations concernant cette possibilité de fuite dans le black market et autres espaces pirates surveillés.

Du côté client, veillez aux mails reçus, sait-on jamais. Modifiez votre votre adresse électronique. Profitez en pour créer, par exemple, un mail comme je vous l’explique ici. Cette fuite de données personnelles tombe sous le coup du Règlement Général de Protection des Données [RGPD]. Je ne sais pas si l’entreprise, comme le stipule la loi, va alerter ses clients. Aucune autre information personnelle dans cette fuite (mot de passe, adresse postale, …).