ManoMano : vos données personnelles dans la nature après un piratage massif

Une intrusion par la petite porte

Tout a commencé quand les équipes de sécurité de l’entreprise ont repéré une activité suspecte chez l’un de leurs partenaires. Ce n’est pas le site principal qui a été forcé directement, mais plutôt un prestataire chargé de la gestion du service client. En gros, un pirate a réussi à mettre la main sur les identifiants de connexion d’un agent de cette société tierce. Une fois à l’intérieur du système, l’intrus n’a pas eu grand-chose à faire pour siphonner des bases de données entières. Cette technique, qu’on appelle une attaque par la chaîne d’approvisionnement, est devenue un grand classique car elle permet de contourner les protections souvent plus robustes des grandes enseignes en visant leurs maillons les plus faibles. C’est un peu comme si quelqu’un volait le pass d’un agent d’entretien pour entrer dans une banque plutôt que de s’attaquer au coffre-fort de face.

Le contenu de la fuite sous la loupe

Forcément, quand on apprend qu’un « téléchargement non autorisé » a eu lieu, la première question qui vient à l’esprit concerne la nature des informations dérobées. Selon le communiqué officiel envoyé aux clients, les noms, prénoms, adresses mail et numéros de téléphone sont dans le lot. Plus embêtant encore, les historiques d’échanges avec le support ont pu être consultés ou extraits. Si vous aviez l’habitude de détailler vos soucis de livraison ou de donner des précisions sur votre domicile dans vos messages, ces détails sont peut-être entre de mauvaises mains. La bonne nouvelle dans ce marasme, c’est que les données vraiment sensibles comme les mots de passe ou les numéros de carte bleue n’auraient pas été touchés. C’est déjà ça de pris, mais ne nous emballons pas trop vite : avec un nom et un numéro de téléphone, un pirate malin peut déjà faire de sacrés dégâts.

Une riposte immédiate mais tardive ?

Dès que l’alerte a été donnée, la plateforme a coupé les vannes. Le compte de l’agent compromis a été verrouillé et les accès du prestataire ont été révoqués le temps de faire le ménage. ManoMano affirme aussi avoir prévenu la CNIL et l’ANSSI, comme la loi l’oblige désormais en cas de violation de données personnelles. C’est la procédure habituelle, mais le mal est déjà fait. Sur certains forums spécialisés dans la revente de données volées, on parle de fichiers contenant plusieurs dizaines de millions de lignes. Même si le chiffre exact reste à confirmer, l’ampleur semble colossale. On sent bien que l’entreprise essaie de rassurer sa communauté en expliquant que tout est sous contrôle. Cependant, la pilule a du mal à passer pour ceux qui voient leurs infos privées exposées à cause d’un simple compte d’employé mal protégé chez un sous-traitant à l’autre bout de la chaîne.

Le vrai danger qui vous guette

Le risque principal maintenant, ce n’est pas qu’on vous vide votre compte bancaire en un clic, mais plutôt que vous deveniez la cible d’arnaques ultra-personnalisées. Imaginez recevoir un appel ou un SMS d’une personne se faisant passer pour un conseiller ManoMano, connaissant votre nom et le dernier problème que vous avez eu avec une commande. C’est un scénario idéal pour vous mettre en confiance afin de vous soutirer des codes secrets ou de vous inciter à cliquer sur un lien vérolé. Le phishing va devenir beaucoup plus crédible car les escrocs disposent de réels éléments de contexte. On vous conseille donc d’être deux fois plus méfiant que d’habitude face aux appels de numéros inconnus ou aux courriels qui vous demandent d’effectuer une action urgente.

Les bons réflexes pour limiter la casse

Même si vos coordonnées bancaires sont à l’abri, il y a quelques étapes simples à suivre pour dormir plus sereinement. D’abord, si vous utilisez le même mot de passe sur ManoMano et sur d’autres sites importants comme votre boîte mail ou vos réseaux sociaux, changez-le partout. C’est une règle de base qu’on oublie souvent, mais les pirates testent systématiquement les combinaisons sur toutes les plateformes connues. Ensuite, restez à l’affût de la moindre communication officielle. Si vous avez reçu le fameux mail d’avertissement, lisez-le attentivement sans cliquer sur les liens à l’intérieur, préférez directement aller sur le site en tapant l’adresse dans votre navigateur. Enfin, n’hésitez pas à signaler toute tentative de fraude sur les plateformes gouvernementales dédiées. On ne récupérera pas vos données, mais on peut au moins éviter que les truands ne profitent trop facilement de leur butin.

Une leçon de plus pour le e-commerce

Cette affaire rappelle cruellement que la sécurité d’un site ne s’arrête pas à ses propres serveurs. On a beau investir des millions dans des pare-feu dernier cri, si le petit prestataire qui gère les mails de réclamation n’a pas une politique de sécurité solide, tout le château de cartes s’écroule. Pour nous, les clients, c’est un rappel qu’il faut toujours donner le strict minimum d’infos lors d’une commande et rester vigilant sur la durée de conservation de nos comptes. Si vous ne comptez plus commander sur cette plateforme, c’est peut-être le moment de demander la suppression pure et simple de votre compte. Moins vous laissez de traces derrière vous, moins vous aurez de soucis le jour où une nouvelle fuite fera la une des journaux.