La Halle au Sommeil a averti des clients de sa boutique en ligne après une intrusion. La notification relayée le 30 octobre indique que les anciens mots de passe ont été désactivés et doivent tous être considérés comme compromis. Pour les personnes qui réutilisaient le même secret ailleurs, le risque dépasse ce seul compte marchand.
L’intrusion a été découverte le 27 octobre
Dans la notification adressée aux clients et conservée par Fuites Infos, l’enseigne situe l’accès malveillant au plus tard au 22 octobre. Le nombre de clients concernés n’est pas précisé.
Les informations accessibles comprennent les coordonnées et l’historique de commandes. Selon les données renseignées par chacun, la date de naissance et des échanges avec le service client pouvaient aussi être présents. Les mots de passe n’étaient pas stockés en clair, mais certains reposaient sur une protection ancienne jugée insuffisante.
Le même mot de passe utilisé ailleurs doit être remplacé aussi
La désactivation sur un site ne change rien aux autres comptes. Si vous aviez repris le même mot de passe pour une messagerie, un autre marchand ou un réseau social, il faut traiter séparément ces réutilisations. Chaque service devrait disposer d’un secret différent.
La raison est mécanique : une personne qui obtient un couple adresse électronique et mot de passe peut tenter de le réemployer ailleurs. Le risque ne dépend pas du fait que le deuxième service ait lui-même subi une intrusion.
Commencez par retrouver vos réutilisations, sans répondre au courriel
Passez par l’adresse habituelle des services concernés pour modifier vos accès. Un gestionnaire de mots de passe peut aider à retrouver les doublons et à créer des secrets distincts. Il vaut mieux suivre cette vérification compte par compte que cliquer sur une série de liens de « sécurisation » reçus après l’alerte.
Le numéro complet de carte et le cryptogramme n’étaient pas conservés
La notification mentionne les premiers et derniers chiffres de carte ainsi que la date d’expiration pour les paiements concernés. L’enseigne précise ne pas conserver le numéro complet ni le cryptogramme. Présenter l’incident comme la publication de toutes les cartes bancaires serait donc inexact.
Ces fragments peuvent tout de même rendre un faux appel plus convaincant. Connaître la fin d’un numéro de carte ne prouve pas que l’appelant représente votre banque. Une demande inattendue de code de validation ou de coordonnées supplémentaires doit être vérifiée en reprenant vous-même contact avec l’organisme par son canal habituel.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
