Schmidt et Cuisinella piratés : ce qu’il faut retenir du énième couac cyber français

Une énième faille de sécurité dans le cyber français

On se croirait dans une mauvaise série Z où le même épisode est diffusé en boucle. Chaque jour apporte son lot de failles de sécurité, et contre toute attente, le secteur de la cuisine est le dernier à passer à la casserole ! Le Groupe Schmidt, maison mère de Cuisinella, s’est donc fait « cracker comme une noix de cajou », comme on dit dans le jargon. Le pire, c’est que les messages d’alerte envoyés aux clients sont tellement standardisés qu’ils provoquent une sorte d’indifférence générale qui fait grincer des dents. En gros : « On adore vos données, promis juré, mais oups, excusez-nous. » C’est le classique du genre : noms, e-mails, téléphones en balade libre, mais « pas de données bancaires, dormez tranquilles ». Forcément, on se demande jusqu’où s’étend cette « bonne nouvelle ».

L’art de l’alerte minimaliste

Les deux cuisinistes ont réagi rapidement, c’est tout à leur honneur. Ils ont détecté l’intrusion, stoppé net l’accès des pirates, et lancé les enquêtes internes. Les e-mails sont clairs sur l’essentiel : un tiers non autorisé a eu accès à des données. Ce sont principalement les informations que les clients avaient pu fournir lors d’une relation commerciale avec un magasin : civilité, nom, prénom, numéro de téléphone, et adresse e-mail. Chez Cuisinella, on a eu le détail précis, ce qui est une bonne chose en termes de transparence : aucune donnée sensible comme l’adresse de résidence, les mots de passe, les informations bancaires, ou encore les pièces d’identité n’aurait été compromise. Ouf. Toutefois, avouons que l’emploi du mot « coordonnées » pour alerter les clients est un peu « soft » pour dire clairement : « vos infos perso sont dans la nature ».

Schmidt et Cuisinella : dans le même bateau

Ce qui rend l’affaire encore plus marquante, c’est que Schmidt et Cuisinella sont deux enseignes qui appartiennent au même groupe. Si l’un se fait pirater, il y a de fortes chances que l’autre soit touché, ce qui confirme que les failles peuvent être systémiques au niveau du groupe. Franchement, les entreprises françaises et les sites étatiques accumulent les galères cyber ces temps-ci. Et, quand on voit l’accumulation d’incidents, il est clair qu’on a un vrai souci de fond avec la cybersécurité dans notre pays. Après les gros breaches chez Leroy Merlin, France Travail et Médecin Direct cette semaine, l’accumulation des mauvaises nouvelles commence à peser lourd sur la confiance.

Quel est le réel danger de cette nouvelle fuite ?

Alors, une fois de plus, on nous dit de dormir tranquilles. Est-ce justifié ? Pas totalement. Si vos données bancaires n’ont pas été touchées, c’est le point positif, mais minimiser l’impact de la fuite de coordonnées de contact serait une erreur. Le danger, il est simple : le phishing (hameçonnage).

Imaginez. Vous recevez un e-mail ou un SMS qui semble provenir de Cuisinella ou de Schmidt, ou même de votre banque, vous appelant par votre nom et votre prénom, et mentionnant un sujet lié à votre cuisine ou votre projet d’ameublement. C’est ce qu’on appelle le spear-phishing, une attaque beaucoup plus ciblée et donc plus dangereuse qu’un simple e-mail de masse. Les cybercriminels vont utiliser ce qu’ils ont volé pour rendre leurs tentatives d’escroquerie beaucoup plus crédibles. Le but final est toujours le même : vous faire cliquer sur un lien vérolé pour voler des mots de passe (par exemple, celui de votre compte bancaire ou de votre boîte mail), ou pire, vous extorquer de l’argent.

Avec toutes ces cybermalveillances en France, il est d’ailleurs devenu d’une facilité déconcertante pour les pirates de regrouper les données issues de multiples fuites (comme celles de France Travail et des cuisinistes) pour créer des profils encore plus précis, permettant de cibler spécifiquement chaque « client » piégé.

Les bons réflexes à adopter dès maintenant

Maintenant que le mal est fait, que pouvons-nous faire, nous, les internautes lambdas ? Les deux cuisinistes, en bons élèves, ont notifié l’incident à la CNIL, ce qui est conforme à la réglementation en vigueur (le fameux RGPD). Mais la vraie responsabilité, elle nous revient.

Vigilance maximale contre le phishing : C’est le point crucial. Soyez particulièrement vigilant à toute communication (e-mail, SMS, appel téléphonique) qui semble provenir de Schmidt, Cuisinella, ou d’un service public (comme l’Assurance Maladie ou les Impôts, si le pirate voulait croiser ses fichiers). Vérifiez toujours l’adresse e-mail de l’expéditeur : si elle ne correspond pas exactement au domaine officiel de l’entreprise, ne cliquez sur rien et supprimez-le immédiatement.

Les Mots de Passe : Bien qu’on nous assure qu’ils n’ont pas été compromis, c’est toujours le bon moment pour faire le grand ménage. Si jamais vous aviez utilisé un même mot de passe chez Cuisinella et ailleurs (ce qui est une très mauvaise idée, mais on le fait tous !), changez-le partout et adoptez un mot de passe mnémonique et robuste.

Ne jamais donner de codes par téléphone : Si un interlocuteur vous appelle et vous demande un code reçu par SMS, même en se présentant comme votre conseiller, raccrochez. Aucune banque ou entreprise légitime ne vous demandera ce type d’information.

En conclusion, si la multiplication de ces incidents est démoralisante, elle doit être vue comme un signal d’alarme. La sécurité des entreprises françaises a besoin d’un bon coup de boost, et nous, les utilisateurs, devons devenir nos propres garde-fous dans cet environnement numérique hostile. Ne faisons pas preuve d’une indifférence générale, mais plutôt d’une vigilance renforcée pour contrer ces attaques qui ne sont, visiblement, pas prêtes de s’arrêter. Le véritable risque aujourd’hui, c’est l’effet cumulatif : chaque nouvelle fuite permet aux cybercriminels d’affiner leurs bases, transformant chaque victime en une cible facile à hameçonner avec des informations recoupées, rendant l’escroquerie quasi-personnalisée.

Le paradoxe RGPD : quand l’administration tue la sécurité

Et le pire dans tout ça ? C’est qu’on nous a pris la tête pendant des années avec le RGPD, l’obligation d’avoir un DPO, et le fait de lister des procédures pour la gestion des incidents. Ces démarches, qui sont censées garantir notre sécurité, n’aboutissent qu’à une paperasse monumentale ! On se contente de dire qu’il faut un DPO et un plan d’action en cas de pépin, mais au final, il n’y a rien pour vraiment vérifier la fiabilité technique et la robustesse des accès (Intranet ou Internet) de l’entreprise. On a une coquille administrative, mais un système d’information en carton. C’est ça qui est révoltant.

Franchement, il serait peut-être temps pour les entreprises de s’asseoir, de tout poser à plat et de se remettre sérieusement en question sur leurs pratiques de sécurité. On ne parle pas de cocher des cases pour le RGPD, mais de faire de vrais tests d’intrusion, des pentests, avec des entreprises de sécurité indépendantes qui mettraient à l’épreuve les accès, les bases de données et les procédures. C’est le prix à payer pour sortir de ce cycle infernal de failles quotidiennes. Et surtout, il ne faut pas hésiter à y mettre le prix !