Si vous avez un compte Smartbox, un intrus a peut-être consulté votre nom et votre adresse e-mail. Le spécialiste des coffrets cadeaux a repéré le 3 novembre un accès non autorisé à l’une de ses plateformes, et prévient ses clients par e-mail.
Parfois, dans la boîte, il y a du phishing. Sous l’objet « Information importante », Smartbox a écrit cette semaine à ses clients pour leur annoncer la cyberattaque, puis a publié une page d’information dans l’aide de son site. D’après son enquête, l’intrus a pu voir les noms, prénoms et adresses e-mail associés aux comptes clients. « L’attaquant n’a pas eu accès aux coordonnées bancaires ni aux mots de passe des comptes », assure l’entreprise. Mais avec votre nom et votre adresse, un escroc peut vous écrire au nom de Smartbox en vous appelant par votre prénom, à quelques semaines de Noël.
L’intrusion signalée au régulateur irlandais
Smartbox ne dit pas comment l’intrus est entré dans son système, ni pendant combien de temps il a gardé cet accès. L’entreprise ne donne pas non plus le nombre de clients concernés, ni les pays où ils vivent, alors qu’elle vend ses coffrets en France, en Belgique, en Suisse et dans d’autres pays européens. Elle assure avoir bloqué toute nouvelle connexion de l’intrus dès la détection de l’attaque, et revoit la sécurité de l’ensemble de ses systèmes. Smartbox Group vend aussi des coffrets sous les marques Dakotabox, Cadeaubox et Bongo, mais l’entreprise ne précise pas si les comptes ouverts sur ces sites sont concernés.
Aucun groupe de pirates n’a affirmé être l’auteur de l’attaque, selon FrenchBreaches. Smartbox parle de données qui « pourraient avoir été consultées », sans affirmer que l’intrus les a copiées, et rien ne permet de savoir si elles circulent sur un forum de cybercriminels.
L’entreprise a prévenu les forces de l’ordre et la Commission de protection des données, l’autorité chargée de faire respecter le RGPD en Irlande. Smartbox Group est une société de droit irlandais installée à Dublin, et c’est donc le régulateur irlandais qui pilote le dossier pour toute l’Union européenne, en vertu du guichet unique prévu par le règlement. Si vous habitez en France, vous pouvez tout de même déposer une plainte auprès de la CNIL, qui travaillera alors avec son homologue irlandaise.
D’après FrenchBreaches, Smartbox annonce aussi un nouveau code PIN pour ses chèques cadeaux, sans préciser son fonctionnement ni la date de sa mise en place. Pour réserver une expérience, vous saisissez sur le site le numéro de votre chèque cadeau et son code de confirmation, et Smartbox n’a pas dit si ce PIN viendra s’ajouter à ces deux identifiants.
Les faux e-mails au nom de Smartbox
Smartbox estime qu’aucune action immédiate n’est nécessaire de votre part, mais vous demande de vous méfier des courriels, des appels et des messages suspects, surtout s’ils réclament des informations personnelles ou bancaires. « Smartbox ne vous demandera jamais de communiquer le mot de passe de votre compte ou vos coordonnées bancaires par e-mail », souligne l’entreprise dans son courriel.
Une adresse e-mail associée à un nom permet à un escroc d’écrire à une personne réellement cliente de la marque. C’est le risque contre lequel Capcom avait mis en garde ses joueurs après la fuite des adresses e-mail de 11,7 millions de comptes Capcom ID. Un escroc peut ainsi vous écrire que votre coffret expire bientôt, ou vous promettre un dédommagement après la cyberattaque, avec un lien vers une fausse page de connexion aux couleurs de Smartbox.
Si vous recevez ce genre de message, ne cliquez pas sur le lien. Tapez directement l’adresse smartbox.com dans votre navigateur pour vérifier l’état de vos coffrets et leur date de validité.
Ne communiquez jamais le numéro de votre chèque cadeau et son code de confirmation à quelqu’un qui vous contacte par téléphone ou par SMS, car avec ces deux identifiants, n’importe qui peut réserver une expérience à votre place.
Votre mot de passe n’a pas été exposé, selon Smartbox, et l’entreprise ne vous demande pas de le changer. Un escroc peut en revanche vous le soutirer avec une fausse page de connexion, et si vous utilisez ce mot de passe sur d’autres sites, changez-le sur chacun d’eux, à commencer par votre messagerie.
En cas de doute sur un message, vous pouvez écrire au service client de Smartbox à l’adresse info@smartbox.com, indiquée dans son courriel. Vous pouvez aussi trouver sur Cybermalveillance.gouv.fr les conseils de l’État contre l’hameçonnage, avec les signes qui doivent vous alerter dans un courriel. Si un faux message au nom de Smartbox arrive dans votre boîte, vous pouvez le signaler sur la plateforme Signal Spam, et transmettre l’adresse du faux site à Phishing Initiative pour faire bloquer la page.
