Vous avez reçu un message de Carrefour au sujet d'un incident chez un prestataire ? Votre nom, votre adresse e-mail et votre numéro de téléphone ont pu être exposés. Ni données bancaires ni mots de passe ne sont en cause, mais le vrai risque, ce sont les faux messages. Voici comment les repérer et quoi faire.
En bref
- Carrefour a prévenu certains clients : noms, prénoms, adresses e-mail et numéros de téléphone ont été exposés chez un prestataire.
- Aucune donnée bancaire ni aucun mot de passe n'est touché, et rien n'indique une intrusion chez Carrefour même.
- Des veilleurs cyber désignent Shipup, prestataire de suivi de livraison utilisé par plus de 700 marques, via une faille Metabase.
Le chiffre clé : Plus de 700, marques utilisent Shipup, le prestataire de suivi de livraison désigné par des spécialistes.
Vos nom, e-mail et téléphone sont exposés, pas votre carte bancaire
Carrefour écrit à une partie de ses clients. Le message annonce un incident de sécurité survenu chez l'un de ses prestataires, pas sur ses propres serveurs. Pour vous, cela change une chose : des informations qui permettent de vous identifier et de vous joindre ont quitté le circuit de l'enseigne.
L'enseigne détaille ce qui est exposé : nom, prénom, adresse e-mail et numéro de téléphone. Elle assure qu'aucune donnée bancaire ni aucun mot de passe n'a été compromis, et que rien n'indique une intrusion dans ses systèmes d'information. Le tableau résume la situation telle que Carrefour la décrit.
| Donnée | Situation |
|---|---|
| Nom et prénom | Exposés |
| Adresse e-mail | Exposée |
| Numéro de téléphone | Exposé |
| Données bancaires | Non compromises, selon Carrefour |
| Mots de passe | Non compromis, selon Carrefour |
Tous les clients ne sont pas concernés : Carrefour n'a prévenu que certains d'entre eux. Si le courrier vous est parvenu, ne l'effacez pas. Il vous servira de repère pour juger les messages suivants.
Carrefour ne nomme pas le prestataire, mais des veilleurs cyber désignent Shipup
Le distributeur ne cite pas le fournisseur en cause. Plusieurs spécialistes de la veille cyber, dont FrenchBreaches et Cyberattaque.org, attribuent pourtant l'incident à Shipup. Cette entreprise française fournit des outils de suivi après achat et des notifications de livraison, ceux qui vous préviennent que votre colis est en route.
Plus de 700 marques utilisent ses services. Carrefour n'est donc pas seul : la liste des enseignes touchées par la compromission de Shipup continue de s'allonger. Si vous avez passé plusieurs commandes en ligne récemment, la même vigilance vaut pour toutes.
Une faille Metabase sans authentification a suffi pour atteindre les données
D'après les informations disponibles, l'attaque exploite une vulnérabilité critique de Metabase, une plateforme open source qui sert à analyser et à visualiser des données. La faille permettait à un attaquant distant d'entrer dans des instances vulnérables sans avoir à s'identifier.
Le mécanisme explique l'ampleur. Un fournisseur partagé par plusieurs centaines d'entreprises concentre leurs données : en le forçant, on atteint plusieurs marques d'un coup, sans en attaquer une seule directement. Les cybercriminels visent de plus en plus ces intermédiaires.
Carrefour range lui-même ce danger dans sa documentation de gestion des risques : des systèmes interconnectés avec des fournisseurs peuvent amplifier l'impact d'une attaque et provoquer des fuites de données personnelles. Le groupe dit s'appuyer sur un centre de supervision (SOC) mondial, un programme de gestion des vulnérabilités et une gouvernance fondée sur le référentiel NIST. Mais ces protections internes peuvent être contournées quand les données sont confiées à un partenaire.
Le vrai risque : des messages frauduleux crédibles au nom de Carrefour ou d'un transporteur
Avec votre nom, votre e-mail et votre numéro, un fraudeur n'a plus besoin de deviner. Il peut vous écrire par votre prénom, à la bonne adresse, et se faire passer pour l'enseigne ou pour un transporteur. C'est le principal risque identifié : des campagnes de phishing ciblées, bien plus convaincantes qu'un message envoyé au hasard.
La nature du prestataire renforce le piège. Un message qui parle d'un colis en attente, d'une livraison manquée ou d'un petit paiement à régler paraîtra d'autant plus naturel que la fuite touche un outil de notifications de livraison.
Soyez attentif à trois canaux : le SMS, l'e-mail et l'appel téléphonique. Votre numéro et votre adresse sont exposés, un faux interlocuteur peut donc choisir celui qui lui convient.
Cinq gestes simples pour ne pas tomber dans le panneau
- Ne cliquez sur aucun lien d'un SMS ou d'un e-mail annonçant un colis, un remboursement ou un souci de livraison que vous n'attendez pas.
- Pour vérifier une commande, ouvrez vous-même l'application ou le site de l'enseigne, sans passer par le message reçu.
- Ne donnez jamais de coordonnées bancaires à la suite d'un message ou d'un appel : elles ne font pas partie des données exposées, donc un message qui les réclame est suspect.
- Ne tenez pas pour fiable un interlocuteur parce qu'il connaît votre nom ou votre numéro : ces informations circulent désormais hors de l'enseigne.
- Méfiez-vous d'un message qui vous presse de changer un mot de passe : Carrefour indique qu'aucun n'a été compromis.
Un message inattendu qui vous pousse à agir vite est déjà un signal d'alerte, même s'il semble connaître votre identité.
Vos questions
Mon mot de passe Carrefour ou ma carte bancaire sont-ils en danger ?
Selon Carrefour, aucune donnée bancaire ni aucun mot de passe n'a été compromis. Les données exposées sont le nom, le prénom, l'adresse e-mail et le numéro de téléphone. Le danger vient surtout de messages frauduleux qui exploitent ces informations.
Carrefour a-t-il été piraté ?
L'enseigne indique que rien ne laisse penser à une intrusion dans ses propres systèmes d'information. L'incident touche un prestataire que Carrefour ne nomme pas. Des spécialistes de la veille cyber l'attribuent à Shipup.
Pourquoi une faille chez Shipup touche-t-elle plusieurs marques ?
Shipup fournit le suivi de livraison à plus de 700 marques. Une faille critique de Metabase, exploitable sans authentification, a suffi pour compromettre ce fournisseur partagé. Les données de plusieurs enseignes sont alors exposées sans qu'aucune ait été attaquée directement.
Sources : lemondeinformatique.fr.