Intermarché informe ses clients d’un incident de sécurité ayant permis un accès non autorisé à une partie de ses systèmes d’information. La compromission concerne certaines données personnelles liées à l’utilisation de son service Drive.
L’enseigne confirme avoir bloqué les accès concernés, lancé des investigations et déclaré l’incident à la CNIL. Une plainte pénale a également été déposée. Le nombre de clients touchés n’est pas précisé dans la notification.
Intermarché, l’un des principaux réseaux de grande distribution français
Intermarché est une enseigne du Groupement Les Mousquetaires et exploite un important réseau de supermarchés et hypermarchés en France. Son service Drive permet aux clients de commander leurs courses en ligne avant de les récupérer dans un point de vente.
Quelles données ont été exposées ?
Selon la notification adressée aux 287 605 personnes concernées, les informations accessibles comprennent :
- nom et prénom ;
- date de naissance ;
- numéro de carte de fidélité ;
- adresse de facturation ;
- numéro de téléphone ;
- numéro des commandes réalisées en ligne ;
- montant des commandes réalisées en ligne.
Intermarché précise que le détail des produits commandés n’est pas concerné.
Pas de données bancaires ni de mots de passe
L’enseigne indique qu’aucune donnée bancaire, aucun mot de passe et aucune adresse e-mail n’ont été affectés. Le montant éventuellement présent dans la cagnotte de fidélité n’est pas non plus concerné.
Comment l’intrusion a-t-elle pu se produire ?
Intermarché ne détaille pas le point d’entrée utilisé. Un compte compromis, une vulnérabilité dans une application ou un accès insuffisamment protégé à un outil interne peuvent permettre à un attaquant d’accéder à ce type de données.
Dès la découverte de l’incident, les accès non autorisés ont été bloqués et des mesures ont été prises pour contenir la compromission et limiter ses conséquences.
Des arnaques particulièrement crédibles à prévoir
Le principal risque concerne désormais le phishing ciblé. Un fraudeur connaissant l’identité d’un client, son numéro de téléphone, son numéro de fidélité et le montant d’une véritable commande peut créer un SMS ou un appel particulièrement crédible.
- faux message de confirmation ou de livraison d’une commande ;
- fausse régularisation de paiement ;
- faux avantage lié à la carte de fidélité ;
- appel usurpant l’identité d’Intermarché ;
- demande frauduleuse de coordonnées bancaires, mot de passe ou code de confirmation.
Intermarché recommande de ne jamais transmettre de coordonnées bancaires, de mot de passe ou de code reçu par SMS à la suite d’un appel ou d’un message inattendu, même lorsque l’interlocuteur dispose d’informations exactes sur le client.
Incident déclaré à la CNIL
L’incident a été notifié à la CNIL et une plainte a été déposée. Le volume total de comptes concernés, la date exacte de l’intrusion et la durée pendant laquelle les attaquants ont pu accéder aux systèmes ne sont pas précisés dans la communication envoyée aux clients.