Violation de données chez Napoleon Perdis : 339 000 enregistrements australiens divulgués
Un acteur malveillant utilisant le pseudonyme « 2019 » a revendiqué la fuite d'une base de données contenant plus de 339 000 enregistrements clients appartenant à Napoleon Perdis, la marque de cosmétiques de luxe australienne. Cette violation présumée, qui n'a pas encore été confirmée de manière indépendante par l'entreprise, comprendrait des noms, adresses e-mail, numéros de téléphone, ainsi que des adresses de domicile et de livraison. Si elle est avérée, cette incident serait l'une des expositions de données de vente au détail les plus importantes touchant des consommateurs australiens ces dernières années, et le type de données impliquées le rend particulièrement dangereux.
Quelles données ont été exposées et qui est à risque
L'ensemble de données revendiqué va bien au-delà des éléments de base. En plus des coordonnées, les enregistrements divulgués contiendraient des données de programme de fidélité et des informations sur les dépenses totales. Cette combinaison est significative. Un nom complet associé à une adresse de domicile, un numéro de téléphone et une adresse e-mail suffit pour lancer des attaques d'usurpation d'identité convaincantes. Ajoutez-y l'historique d'achats et le niveau de fidélité, et les attaquants disposent d'un profil détaillé du comportement d'achat et des habitudes financières de chaque individu.
Les quelque 339 100 personnes touchées sont principalement des consommateurs australiens ayant effectué des achats chez Napoleon Perdis, que ce soit en magasin ou en ligne. Étant donné que les données incluent les adresses de livraison, même les clients ayant utilisé une adresse e-mail professionnelle ou alternative pourraient être identifiés et localisés. Toute personne ayant déjà créé un compte Napoleon Perdis ou s'étant inscrite à leur programme de fidélité doit considérer ses informations personnelles comme potentiellement compromises jusqu'à ce que l'entreprise apporte des clarifications.
Pourquoi les données de fidélité et de dépenses augmentent le niveau de menace
La plupart des discussions sur les violations de données dans le commerce de détail se concentrent sur les numéros de carte de paiement ou les mots de passe. Ces éléments sont graves, mais les données de fidélité et de dépenses introduisent un type de risque différent souvent sous-estimé.
Lorsque les attaquants savent combien un client a dépensé auprès d'un commerçant, ils peuvent prioriser leurs cibles. Les clients à forte valeur sont plus susceptibles d'être ciblés par des campagnes de phishing sophistiquées, des escroqueries au remboursement frauduleux, voire des approches physiques. Un escroc qui sait que vous êtes un membre premium du programme de fidélité peut élaborer un e-mail très crédible prétendant offrir une récompense exclusive ou résoudre un problème de facturation, avec votre nom et adresse exacts.
Cette capacité de profilage est ce qui distingue une violation à haut risque d'une violation ordinaire. Les violations impliquant ce type de données ont également une durée de vie plus longue : les informations n'expirent pas comme un mot de passe ou un numéro de carte de crédit après une réinitialisation.
Comment les attaquants exploitent les registres d'adresses et de numéros de téléphone divulgués
Les adresses de domicile et les numéros de téléphone sont les deux points de données qui font passer une violation du monde numérique au monde physique. Les attaquants peuvent les utiliser pour mener des attaques par échange de carte SIM, où un fraudeur convainc un opérateur mobile de transférer votre numéro vers un appareil qu'il contrôle, contournant ainsi l'authentification à deux facteurs par SMS. Les numéros de téléphone permettent également le vishing, ou hameçonnage vocal, où des appelants se font passer pour des banques, des agences gouvernementales ou des commerçants pour extraire davantage d'informations personnelles ou financières.
La violation de données ADT qui a exposé 10 millions d'enregistrements via le vishing illustre clairement comment l'ingénierie sociale par téléphone peut prendre de l'ampleur lorsque les attaquants disposent d'un stock vérifié de coordonnées. Les adresses de domicile ajoutent une dimension supplémentaire, permettant la fraude postale, l'interception de colis ou des approches ciblées qui exploitent le sentiment de familiarité de la victime avec son propre lieu de résidence.
Dans un cas distinct mais structurellement similaire, la violation de données ADT touchant 5,5 millions de clients a démontré comment les noms, numéros de téléphone et adresses de domicile forment ensemble une boîte à outils complète pour la fraude à l'identité. La fuite de Napoleon Perdis, si elle est confirmée, partage ce profil presque exactement.
Les commerces de détail sont des cibles attractives précisément parce que leurs bases de données combinent données d'identité et données comportementales, et souvent avec un investissement en sécurité bien moindre que les institutions financières. L'incident présumé de Napoleon Perdis correspond à ce schéma.
Mesures que les consommateurs australiens peuvent prendre dès maintenant pour se protéger
Si vous avez déjà créé un compte chez Napoleon Perdis ou participé à leur programme de fidélité, voici des mesures pratiques que vous pouvez prendre immédiatement.
Vérifiez vos e-mails pour détecter les messages suspects. Les tentatives de phishing ont tendance à augmenter dans les semaines suivant l'annonce d'une violation, se faisant souvent passer pour la marque compromise elle-même. Soyez sceptique face à tout e-mail prétendant traiter de la violation, offrir une compensation ou demander une vérification de compte.
Activez l'authentification à deux facteurs sur tous vos comptes financiers. Étant donné que les numéros de téléphone font partie de la fuite présumée, privilégiez les applications d'authentification plutôt que les codes par SMS lorsque cela est possible.
Surveillez votre dossier de crédit. Les consommateurs australiens peuvent demander un rapport de crédit auprès des principaux bureaux de crédit et, s'ils sont inquiets, placer une interdiction temporaire sur les nouvelles demandes de crédit. Des services comme IDCARE, le service national australien d'aide à l'identité et à la cybersécurité, peuvent aider les personnes qui pensent que leurs données ont été utilisées de manière frauduleuse.
Soyez attentif à la fraude par courrier physique. Étant donné que les adresses de livraison figurent dans les données revendiquées, surveillez les colis inattendus, les avis de réexpédition ou les demandes de confirmation des détails de livraison.
Passez en revue l'ensemble de votre empreinte de données. Cette violation est une bonne occasion de vérifier quels détaillants et services détiennent vos informations personnelles. Dans la mesure du possible, supprimez les comptes que vous n'utilisez plus et désinscrivez-vous des programmes de fidélité qui exigent plus de données que vous n'êtes à l'aise de partager.
La revendication de violation de données chez Napoleon Perdis fait toujours l'objet d'une enquête, et l'entreprise n'a pas encore publié de déclaration publique complète. Mais que la violation soit finalement confirmée à l'échelle revendiquée ou non, cet incident rappelle que les bases de données de fidélité du commerce de détail contiennent bien plus d'informations sensibles que la plupart des clients ne le pensent. Rester proactif dès maintenant est le moyen le plus efficace de limiter votre exposition si ces données continuent à circuler.
