L Commerce, la société derrière le service Allo E.Leclerc, informe certains clients qu’un de ses prestataires logistiques externes a été victime d’un incident de sécurité informatique. Cette compromission a entraîné un accès non autorisé à plusieurs données personnelles.
L’incident ne concerne donc pas directement les systèmes d’Allo E.Leclerc mais ceux d’un partenaire utilisé pour ses opérations logistiques.
Des données clients accessibles chez un prestataire
Selon la notification adressée aux personnes concernées, les attaquants ont pu accéder à plusieurs catégories de données permettant d’identifier et de contacter les clients.
- nom et prénom ;
- adresse e-mail ;
- numéro de téléphone.
L’entreprise précise en revanche que les informations bancaires, identifiants de connexion et mots de passe ne sont pas concernés par cette fuite.
Une cyberattaque indirecte via la chaîne logistique
Ce type d’incident illustre le risque lié aux prestataires disposant de données clients. Même lorsqu’une entreprise n’est pas directement compromise, une attaque contre un fournisseur peut suffire à exposer les informations qu’elle lui transmet pour assurer ses services.
Le prestataire concerné n’est pas nommé dans la notification et aucun nombre de clients touchés n’est communiqué à ce stade.
La CNIL a été informée
L Commerce indique avoir notifié l’incident à la CNIL conformément à la réglementation. Les personnes concernées sont également directement prévenues par l’entreprise.
Un risque accru de phishing et d’usurpation
La combinaison entre nom, adresse e-mail et numéro de téléphone peut être utilisée pour construire des campagnes de phishing crédibles, notamment par SMS, téléphone ou e-mail en se faisant passer pour E.Leclerc, un transporteur ou un service de livraison.
L’entreprise recommande donc à ses clients de rester vigilants face aux communications inhabituelles ou aux demandes d’actions suspectes reçues après cet incident.