Le e-commerçant français LDLC a été victime d'une cyberattaque qui a permis un accès non autorisé à l'un de ses systèmes. Les noms, coordonnées et informations de compte de clients ont pu être consultés, mais pas les données bancaires, assure l'entreprise.
Ce n'est pas le genre de courrier électronique qu'on espère trouver entre deux promos sur les cartes graphiques, toujours est-il que LDLC informe actuellement une partie de ses clients qu'un incident de sécurité a permis à des cybercriminels d'accéder à l'un de ses systèmes d'information, avec à la clé la consultation possible de leurs données personnelles. Figurent ainsi les noms, adresses, téléphones ou encore date d'inscription figurent parmi les informations exposées, tandis que les mots de passe et moyens de paiement seraient restés hors d'atteinte, fort heureusement. L'ampleur réelle de l'incident, elle, demeure une inconnue de taille, comme le relève FrenchBreaches ce vendredi 2 octobre.
Identité, coordonnées, compte client, ce que le piratage contre LDLC a pu exposer
L'enseigne LDLC, qui prévient ses clients par e-mail, dresse un inventaire plutôt fourni de données personnelles, avec nom, prénom, adresses postale et électronique, téléphones fixe et portable, voire numéro de fax pour les irréductibles qui l'avaient renseigné. S'y ajoutent la langue de l'utilisateur, son statut de particulier ou de professionnel, ainsi que des « codes clients techniques », autrement dit des identifiants internes propres à LDLC.
Parmi les informations exposées figure aussi la civilité, c'est-à-dire le titre associé au nom de chaque client. D'après le mail envoyé par LDLC, que nous avons pu consulter, ce champ ne se limite pas à Monsieur ou Madame. Il peut aussi indiquer Docteur ou Maître, et ainsi trahir la profession d'un client, qu'il soit médecin, avocat ou notaire. Ajoutez-y la date de création du compte et celle de la dernière connexion, qui révèlent depuis quand on est client et si l'on fréquente encore le site, et vous obtenez un profil assez précis de chaque acheteur. Exactement la matière première dont raffolent les fraudeurs pour rendre un faux message crédible.
Au rayon des bonnes nouvelles, sans mauvais jeu de mots, LDLC assure que les RIB, numéros de carte bancaire, identifiants de connexion et mots de passe n'ont pas été touchés, et sa notification ne fait d'ailleurs état d'aucune compromission des moyens de paiement. L'entreprise affirme avoir complètement isolé l'outil visé, revu la façon dont on accède à ses systèmes et signalé l'incident à la CNIL, le gendarme français des données personnelles, comme l'impose la réglementation.
Après la cyberattaque, gare au phishing sur mesure
Le vrai danger pourrait, comme toujours en cas de fuite de données, survenir dans les prochaines, LDLC le reconnaît lui-même. Avec autant de données en poche, un escroc peut fabriquer un faux message (colis bloqué, remboursement en attente…) qui vous appelle par votre nom, évoque votre ancienneté de client et arrive sur votre vrai numéro. C'est tout le principe du phishing (hameçonnage), à savoir se faire passer pour une marque de confiance afin de soutirer des informations sensibles.
LDLC le rappelle noir sur blanc : ses équipes ne réclameront jamais de mot de passe, de coordonnées bancaires ni de changement de RIB par e-mail, SMS ou téléphone. Avant de cliquer sur un lien, mieux vaut vérifier l'identité réelle de l'expéditeur et l'adresse vers laquelle il mène ; face à un appel suspect, on ne donne pas suite et on recontacte l'enseigne par ses canaux habituels. Pour apprendre à repérer un message piégé, le groupe renvoie d'ailleurs vers les conseils du site public Cybermalveillance.gouv.fr. Les clients professionnels, dont le statut figure parmi les données exposées, gagneront à scruter de près toute demande de modification bancaire.
Le groupe rhodanien ne précise néanmoins pas le nombre de clients touchés, ni la date de l'intrusion, ni la méthode employée par l'attaquant. On ignore également si les données ont simplement été consultées ou bel et bien copiées, et rien ne permet d'affirmer qu'une base complète a été aspirée. Pour l'enseigne, l'épisode a en tout cas un air de déjà-vu, puisqu'il fut déjà victime d'une attaque par rançongiciel fin 2021, avant une première fuite de données clients début 2024, puis une seconde en décembre la même année.
