Intermarché Drive : 287 605 clients concernés par une fuite

Un accès non autorisé sur une partie des systèmes

Le Groupement Les Mousquetaires a indiqué le 3 août avoir été victime, la semaine précédente, d'un incident de cybersécurité. L'entreprise parle d'un accès non autorisé à des données de clients du service Drive d'Intermarché. Elle affirme avoir détecté l'accès, pris des mesures pour le bloquer et limiter les conséquences. L'incident a été signalé à la CNIL et une plainte a été déposée auprès du parquet de Paris, selon les éléments rapportés par 20 Minutes avec AFP.

Le mécanisme technique de l'intrusion n'a pas été rendu public. Il ne faut donc pas transformer cette affaire en récit de faille précise, de compte compromis ou de prestataire attaqué : ces éléments ne sont pas confirmés. La donnée importante pour les clients est plutôt la nature très détaillée des informations qui ont pu être consultées.

Les données qui peuvent rendre une arnaque crédible

Selon la notification aux clients reprise par French Breaches, les données potentiellement concernées comprennent les nom et prénom, la date de naissance, l'adresse de facturation, le numéro de téléphone, le numéro de carte de fidélité ainsi que, pour les achats en ligne, les références et montants des commandes. Intermarché a précisé que les détails des produits commandés ne sont pas concernés.

Ces éléments ne permettent pas à eux seuls de prélever de l'argent. En revanche, ils peuvent aider un fraudeur à construire un message ou un appel très convaincant. Une personne qui connaît votre nom, votre adresse, votre numéro et l'existence d'une commande Drive peut se présenter comme un service client, un livreur ou un partenaire de fidélité. C'est ce contexte qui augmente le risque de hameçonnage ciblé et d'escroquerie téléphonique.

Ce qui n'est pas concerné selon l'enseigne

Intermarché assure qu'aucune donnée bancaire, aucun mot de passe et aucune adresse électronique ne sont concernés. L'enseigne ajoute que le montant de la cagnotte fidélité n'a pas été exposé. Cette distinction compte : elle signifie qu'il n'y a pas de raison, sur la seule base de cet incident, de modifier un mot de passe ou de faire opposition sur une carte bancaire.

Cela ne rend pas les messages ultérieurs inoffensifs. Un escroc peut précisément exploiter la crainte d'une fuite pour demander un code de validation, une carte bancaire ou un nouveau mot de passe. Ces informations ne figurent peut-être pas dans les données concernées, mais elles peuvent être obtenues ensuite si la victime les transmet elle-même pendant un faux appel ou sur un faux site.

Le chiffre confirmé et la revendication distincte

Le chiffre confirmé par le Groupement Les Mousquetaires est de 287 605 clients Drive identifiés comme concernés, sur environ deux millions de clients du service. Les investigations étaient encore en cours au moment de cette communication, afin de déterminer si d'autres personnes avaient été touchées.

Dans une publication séparée, un cybercriminel a revendiqué la mise en vente d'une base attribuée à Intermarché Drive contenant 1 393 807 enregistrements. French Breaches indique que cette affirmation s'appuie sur des échantillons publiés, mais que l'authenticité complète de la base et le nombre exact de personnes concernées n'ont pas été vérifiés indépendamment. Ce total ne doit donc pas être présenté comme le bilan d'Intermarché.

Les réflexes utiles pour les clients Drive

Ne validez jamais une demande urgente reçue par SMS, téléphone ou messagerie, même si elle cite une commande, votre adresse ou votre carte de fidélité. Intermarché recommandait aux clients concernés de ne pas cliquer sur des liens suspects, de ne pas ouvrir de pièce jointe inattendue et de ne pas répondre aux appels ou SMS suspects. Pour vérifier une demande, ouvrez vous-même l'application ou tapez l'adresse habituelle du site, sans utiliser le lien reçu.

Ne communiquez ni coordonnées bancaires, ni mot de passe, ni code de validation à un interlocuteur qui vous contacte. Le bon geste, si un appel semble plausible, est de raccrocher puis de contacter le service concerné par un canal que vous avez choisi. Avec un numéro de téléphone et des informations de commande, l'appel frauduleux peut sembler réel, mais un conseiller légitime ne vous demandera pas un code de validation reçu par SMS pour annuler une fraude.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier indépendamment la méthode utilisée pour obtenir l'accès non autorisé, la durée de cet accès, ni le volume exact de données consultées. L'entreprise n'a pas publié de détail technique sur l'intrusion dans les sources lues.

Nous ne pouvons pas non plus confirmer la base de 1 393 807 enregistrements revendiquée par un cybercriminel, ni établir qu'elle correspond à autant de personnes distinctes. Le seul bilan à présenter comme confirmé reste celui de 287 605 clients Drive identifiés par Intermarché au moment de sa communication.

Sources : 20 Minutes avec AFP ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.