Mise à jour – Une base de données volée à CDiscount ?

Un pirate informatique affirme avoir mis la main sur une base de données de l’enseigne CDiscount. Qu’en est-il vraiment ?

Un business qui ne connait pas la crise, la mise en vente de bases de données piratées. Alors que les ransomwares avaient presque fait oublier que les données se volent depuis des années, avec des demandes de rançons pour que les informations collectées ne finissent pas en vente ou diffusées à l’air libre du 2.0, de nombreux pirates se sont fait une spécialité de collecter et vendre les informations piratées.

Dernier cas en date repéré, une vente annonçant être une base de données de l’enseigne de grande distribution CDiscount. 124 000 logs de ce qui semble être un fichier du Service Après-vente.

Les données vendues par le pirate semblent dater de plusieurs années, du moins dans celles diffusées.

Un document qui affiche des milliers de numéros de téléphone, adresses électroniques, identités, adresses postales … Dans certains cas, une annotation comme, par exemple « La cliente souhaite annuler sa commande, le colis n’apparait pas expédier« .

J’ai alerté le DPO de CDiscount pour en savoir plus.

Des données brutes qui peuvent permettre un phishing ciblé

Que peut bien faire un pirate de telles données. Il n’y a pas d’informations bancaires, par de mots de passe …

Non, mais il y a le reste. Et le reste peut permettre de fabriquer un phishing aux couleurs de CDiscount. Un hameçonnage dés plus précis. Comme l’exemple que je vous montre ci-dessous, avec la FNAC, ou encore avec CDiscount, justement.

Un phishing avec de vraies données clients ! Imparable si les interlocuteurs ne vérifient pas, par exemple, l’url de redirection.

Il devient simple pour un escroc d’écrire à ses victimes en fournissant de vraies indications nominatives (identité, adresse …).

Un social engineering qui peut permettre d’effacer les craintes de l’internautes. Se dernier, rassuré pas autant de données vérifiées, cliquera plus facilement sur un courriel et/ou un lien piégé.

Les données du pirate ne semblent pas récentes, mais n’en reste pas moins efficace dans son utilisation malveillante expliquée plus haut.

Mise à jour 26/01/2021 – Le DPO de CDiscount m’a répondu très rapidement, le 25 janvier. « Je vous remercie pour votre message. Cette alerte est en cours d’analyse par nos équipes. » Les équipes n’ont pas tardé à apporter une réponse, le 27/01, pour les clients de Cdiscount (que je suis d’ailleurs, NDR). « Je vous confirme, après investigations approfondies menées par nos services, que le fichier publié sur internet n’est pas issu de nos systèmes d’informations et que nous n’avons pas subi de vol des données. » Voilà qui est donc rassurant. Mais d’où peut bien provenir ce document ?