Journaux.fr : une fuite de 270 000 personnes est revendiquée

Une revendication visant un site français de vente de presse

Journaux.fr propose l'achat de journaux, magazines et collections, au numéro ou par abonnement. Ses mentions légales identifient la société ADPF, établie à Joigny. C'est bien ce service marchand que la publication consultée désigne. Cette vérification ne confirme pas l'incident, mais elle permet d'éviter de confondre la marque avec un site homonyme ou un faux domaine.

Selon FrenchBreaches, la publication a été diffusée sur un forum cybercriminel. Elle présente un échantillon de données et affirme qu'un ensemble plus vaste concerne environ 270 000 personnes. Aucune communication de Journaux.fr confirmant une intrusion, une fuite ou une notification des clients n'a été trouvée dans les sources ouvertes pour cet article.

Des coordonnées postales et des références de commande apparaissent

L'échantillon décrit par FrenchBreaches comporte des noms, prénoms, adresses de livraison et de facturation, codes postaux, villes, pays et identifiants de commande. Certains champs peuvent aussi distinguer la société ou les compléments d'adresse lorsque ces informations ont été renseignées. La présence de données de livraison et de facturation rend la revendication plus préoccupante qu'une simple liste d'adresses e-mail.

En revanche, les éléments consultés ne permettent pas d'affirmer que le détail des achats, les montants, les dates de commande ou les moyens de paiement font partie des données. Ils ne permettent pas non plus de dire qu'aucune autre donnée n'existe dans le jeu complet. L'absence d'un champ dans un échantillon n'est pas une preuve d'absence dans le reste de la base.

Les identifiants de commande semblent pouvoir relier une personne à une commande enregistrée dans le système. Leur signification précise, leur période de validité et les informations auxquelles ils donnent accès ne sont pas établies. Il serait donc imprudent de les présenter comme des numéros de carte bancaire, des mots de passe ou des accès à un compte.

Pourquoi une adresse et une commande peuvent aider un escroc

Si les données sont authentiques, elles peuvent servir à fabriquer un scénario crédible de livraison ou de facturation. Un fraudeur qui connaît le nom, l'adresse et l'existence d'une référence de commande peut envoyer un faux avis de colis, appeler pour une prétendue correction d'adresse ou réclamer des frais imaginaires. Le danger vient du contexte réel utilisé pour rassurer la personne ciblée.

Cela ne signifie pas qu'une campagne d'arnaques est déjà en cours ni que chaque client est concerné. C'est un risque plausible qui découle de la nature des informations affichées. Le bon réflexe ne consiste pas à répondre au message pour vérifier. Il faut ouvrir soi-même le site ou l'espace client habituel, ou utiliser un numéro trouvé indépendamment du message reçu.

Un contact inattendu n'a pas besoin d'un code de validation reçu par SMS pour modifier une adresse ou résoudre un problème de livraison. Si un appelant demande ce code, des coordonnées bancaires ou un mot de passe, il faut raccrocher. La référence de commande peut rendre le discours plus convaincant, mais elle ne transforme pas cette demande en démarche légitime.

Une API est aussi évoquée, sans lien démontré avec la fuite

L'auteur de la publication évoque séparément une possible faiblesse dans une API de Journaux.fr. Selon cette affirmation, un utilisateur authentifié avec un jeton JWT pourrait modifier le montant du crédit associé à un compte, jusqu'à une certaine limite. FrenchBreaches précise que cette déclaration est distincte de la fuite de données elle-même.

Ni le fonctionnement réel de cette API, ni son exploitabilité, ni son impact ne sont confirmés indépendamment. Surtout, aucun élément lu ne permet d'établir que cette faiblesse serait à l'origine des données revendiquées. Présenter cette hypothèse comme l'explication de la fuite reviendrait à inventer un mécanisme technique que les sources ne démontrent pas.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier indépendamment l'authenticité de l'ensemble de données, le chiffre de 270 000 personnes, le nombre de personnes distinctes ni la période couverte. La victime est désignée par la publication, mais aucune confirmation officielle de Journaux.fr n'a été trouvée dans les sources consultées. Nous ne savons pas non plus si des clients ont été prévenus ou si une autorité a été saisie.

Nous ne pouvons pas établir comment les données auraient été obtenues, si l'accès serait encore possible, ni si l'échantillon reflète le contenu complet. La faiblesse d'API évoquée reste une allégation non vérifiée et son éventuel lien avec la fuite n'est pas démontré. Enfin, aucune donnée bancaire, aucun mot de passe et aucun contenu de commande ne peuvent être déclarés concernés ou exclus à partir des seuls éléments publics lus.

Sources : Journaux.fr ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.