Piratage chez TotalEnergies : des données de clients du Club ont été volées TotalEnergies Marketing France informe des membres de son programme de fidélité Le Club qu’un incident de sécurité survenu chez l’un de ses prestataires techniques a entraîné une fuite de données personnelles. Un tiers malveillant est parvenu à s’introduire dans les systèmes du prestataire et à extraire des informations d’identification, des données relatives aux comptes Club ainsi que des historiques de transactions. TotalEnergies précise qu’aucune donnée bancaire ni aucun moyen de paiement n’ont été compromis. Une nouvelle fuite de données touche des clients de TotalEnergies. :::embed ::: Dans une notification adressée aux personnes concernées, TotalEnergies Marketing France indique qu’un prestataire technique du programme de fidélité Le Club a subi un incident de sécurité. Après investigations, l’entreprise confirme qu’un tiers malveillant s’est introduit dans les systèmes d’information du prestataire. Celui-ci a pu extraire de manière illicite certaines données personnelles appartenant aux membres du programme. Des données personnelles ont été volées Contrairement à une simple suspicion de compromission, TotalEnergies confirme dans sa notification qu’une extraction de données a effectivement eu lieu. L’entreprise indique que le pirate a pu récupérer : • des données d’identification ; • des informations relatives au compte Le Club ; • l’historique des transactions associé au compte. La notification consultée ne fournit toutefois pas la liste détaillée de tous les champs concernés. Elle ne précise pas non plus le nombre total de clients touchés par cette fuite de données. Aucune donnée bancaire compromise selon TotalEnergies TotalEnergies apporte une précision importante concernant les informations financières. L’entreprise affirme qu’aucune donnée bancaire ni aucun moyen de paiement n’ont été impactés par l’incident. La fuite concerne donc, selon les informations actuellement communiquées, les données d’identification et celles associées au programme de fidélité et à son historique de transactions. Le piratage concerne un prestataire de TotalEnergies L’intrusion n’aurait pas directement eu lieu dans les systèmes de TotalEnergies Marketing France. Selon la notification, c’est un prestataire technique intervenant dans le cadre du programme Le Club qui a subi l’incident. TotalEnergies indique qu’après investigations, il a été établi qu’un tiers malveillant s’était introduit dans les systèmes d’information de ce prestataire. Ce type d’incident illustre le risque lié aux attaques contre les fournisseurs et prestataires, qui peuvent disposer ou traiter des données appartenant aux clients d’une autre entreprise. TotalEnergies affirme avoir sécurisé l’incident TotalEnergies indique avoir immédiatement pris les mesures techniques nécessaires pour mettre fin à l’incident et sécuriser ses environnements informatiques. La notification ne précise cependant pas : • la date exacte de l’intrusion ; • la durée pendant laquelle le pirate a disposé d’un accès ; • la méthode utilisée pour compromettre le prestataire ; • le volume de données exfiltrées ; • le nombre de clients concernés ; • l’identité du tiers malveillant. Aucun groupe cybercriminel particulier n’est mentionné dans le document. La CNIL a été informée TotalEnergies Marketing France indique également avoir effectué une notification auprès de la Commission nationale de l’informatique et des libertés (CNIL). Cette démarche intervient après la confirmation de l’extraction de données personnelles depuis les systèmes du prestataire. Les personnes concernées sont parallèlement informées directement de l’incident. Quels sont les risques pour les clients ? Même en l’absence de données bancaires compromises, les informations volées peuvent présenter des risques. Des données d’identification associées à l’existence d’un compte TotalEnergies peuvent notamment être utilisées pour rendre certaines tentatives de phishing ou d’ingénierie sociale plus crédibles. TotalEnergies appelle ainsi les personnes concernées à être particulièrement vigilantes face aux prises de contact suspectes effectuées en son nom par : • e-mail ; • téléphone ; • SMS. Les clients doivent notamment se méfier des messages demandant des informations personnelles, des identifiants ou une action urgente sous prétexte d’un problème concernant leur compte. Ce qui reste inconnu Plusieurs informations importantes ne figurent pas dans la notification consultée : • le nombre exact de personnes concernées ; • le volume total de données exfiltrées ; • la date de la cyberattaque ; • le nom du prestataire compromis ; • le vecteur initial de l’intrusion ; • la liste exhaustive des données d’identification concernées ; • la période couverte par les historiques de transactions ; • l’identité ou l’origine des attaquants. Ces éléments permettraient de mesurer plus précisément l’ampleur de la fuite. Conclusion TotalEnergies Marketing France confi
TotalEnergies (Le Club) : cyberattaque et fuite de données — ce que l’on sait, que faire
