Nature & Découvertes : des données de clients exposées après un incident chez un prestataire Nature & Découvertes informe certains de ses clients d’un incident de sécurité informatique ayant affecté le système de l’un de ses prestataires. Un accès non autorisé à des données hébergées par ce dernier a pu exposer des informations personnelles et des données relatives aux commandes. Les informations susceptibles d’être concernées comprennent notamment les noms, prénoms, adresses postales, adresses e-mail, numéros de téléphone ainsi que des informations relatives aux commandes passées auprès de Nature & Découvertes. :::embed ::: L’enseigne précise qu’aucune donnée bancaire, information de paiement ou mot de passe n’est concerné par cet incident. Notification envoyée par Nature & Découvertes Un incident de sécurité chez un prestataire de Nature & Découvertes Nature & Découvertes informe ses clients qu’un incident de sécurité informatique a récemment été identifié au niveau du système de l’un de ses prestataires. Selon la notification adressée aux personnes concernées, cet incident a permis un accès non autorisé à certaines données hébergées par ce prestataire. L’enseigne indique que la situation est désormais maîtrisée et que des mesures ont été prises afin de sécuriser les systèmes concernés. À ce stade, le message ne précise pas publiquement l’identité du prestataire concerné, la méthode utilisée pour obtenir l’accès ni la date exacte de la compromission. Quelles données personnelles sont concernées ? Selon Nature & Découvertes, les informations susceptibles d’avoir été exposées correspondent à des données traitées dans le cadre des commandes de ses clients. Les données potentiellement concernées comprennent : • nom et prénom ; • adresse postale ; • adresse e-mail ; • numéro de téléphone ; • informations relatives aux commandes ; • articles commandés ; • quantités ; • prix des articles. La compromission peut donc permettre d’associer l’identité et les coordonnées d’un client à des informations concernant ses achats auprès de Nature & Découvertes. Les informations relatives aux commandes également exposées L’incident ne concerne pas uniquement les coordonnées des clients. Des informations relatives aux commandes Nature & Découvertes sont également susceptibles d’avoir été accessibles. Celles-ci peuvent notamment comprendre les articles achetés, les quantités commandées et leur prix. La présence simultanée de coordonnées personnelles et d’informations réelles concernant des achats pourrait notamment faciliter la création de messages frauduleux particulièrement crédibles. Aucune donnée bancaire ou mot de passe concerné Nature & Découvertes apporte toutefois une précision importante concernant le périmètre de l’incident. Selon l’enseigne, aucune donnée bancaire, information de paiement ou mot de passe n’est concerné. Les informations potentiellement exposées portent donc sur les données personnelles, les coordonnées et les informations relatives aux commandes, mais pas sur les moyens de paiement ou les identifiants de connexion. Un risque de phishing ciblé Les données potentiellement exposées pourraient être utilisées pour mener des campagnes de phishing ou d’ingénierie sociale ciblées. Un fraudeur disposant du nom d’un client, de son adresse e-mail, de son numéro de téléphone et d’informations concernant une véritable commande pourrait notamment tenter de se faire passer pour Nature & Découvertes, un transporteur ou un service chargé de la livraison. La connaissance des produits réellement commandés pourrait rendre ces sollicitations plus crédibles. Les clients concernés doivent donc rester particulièrement vigilants face aux e-mails, SMS ou appels inattendus faisant référence à une commande, une livraison, un remboursement ou un problème de paiement. L’incident aurait été contenu Nature & Découvertes indique que ses équipes et celles du prestataire concerné ont pris des mesures dès qu’elles ont eu connaissance de l’incident. Ces actions auraient notamment permis de : • contenir l’incident ; • sécuriser les données concernées ; • renforcer les dispositifs de protection. L’enseigne affirme que la situation est désormais maîtrisée. La CNIL informée Nature & Découvertes indique également avoir engagé les démarches prévues en matière de protection des données personnelles. Selon la notification adressée aux clients, l’incident a été notifié à la Commission nationale de l’informatique et des libertés (CNIL). Cette notification intervient dans le cadre de la gestion de l’incident et des obligations applicables en matière de protection des données personnelles. Ce qui reste à déterminer Plusieurs informations importantes ne sont pas précisées dans la notification visible : • le nombre exact de clients concernés ; • l’identité du prestataire victime de l’incident ; • la date de début de l’accès non autorisé ; • la durée pendant laquelle les données ont été accessibles ; • la méthode utilisée par l’attaquant ; • le volume
Nature & Découvertes : fuite de données — ce que l’on sait, que faire
