Incident
L'enseigne Leroy Merlin a confirmé avoir été la cible d'un acte de cybermalveillance affectant une partie des données personnelles associées aux comptes de fidélité. L'entreprise a indiqué avoir pris connaissance de l'attaque et avoir informé les clients concernés ainsi que la Commission nationale de l'informatique et des libertés (CNIL). Selon l'enseigne, une plainte va être déposée et des vérifications sont en cours pour évaluer l'étendue de l'incident.
Données exposées
Leroy Merlin a précisé que les données concernées étaient principalement des « données de contact » : noms, prénoms, numéros de téléphone, adresses électroniques, adresses postales et dates de naissance. L'enseigne indique que les données bancaires et les mots de passe des comptes clients ne sont pas concernés. Elle n'a pas détaillé la nature précise des informations liées au programme de fidélité qui ont été exposées.
Chronologie des annonces
L'enseigne a communiqué sur l'incident auprès de médias et par courriel aux clients concernés. Certaines interventions publiques rapportent que la société a confirmé l'attaque à des médias le 3 décembre et que des informations supplémentaires ont été relayées le 4 décembre. Les clients touchés ont reçu des notifications par courriel leur conseillant de rester vigilants face aux tentatives de phishing.
Allégations sur l'origine de l'attaque
Un chercheur en sécurité a indiqué publiquement qu'un groupe se revendiquant Dumpsec aurait exfiltré des données en utilisant des accès compromis d'un employé de l'enseigne. Ce point est présenté comme une allégation et fait l'objet de vérifications dans le cadre de l'enquête sur l'incident.
Contexte
Cet incident s'inscrit dans une série de cyberattaques visant diverses organisations durant la même période. Des entreprises et administrations ont signalé des compromissions de données à caractère personnel au cours des mois précédents. Plusieurs rapports indiquent une hausse des violations affectant de larges populations d'individus.
Réactions et recommandations
Leroy Merlin a informé les clients concernés et a saisi la CNIL. L'enseigne invite ses clients à la vigilance face aux courriels, SMS ou appels susceptibles de viser le phishing et rappelle de ne pas transmettre de données personnelles en réponse à des sollicitations non sollicitées. L'enquête administrative et judiciaire est en cours afin de déterminer l'origine et l'étendue de la fuite et d'orienter les mesures complémentaires à mettre en place.
