Vous êtes client LDLC ? Depuis le 2 octobre, l'enseigne écrit à une partie de sa clientèle : nom, adresses, téléphones et dates de compte ont pu être consultés par un intrus. Mots de passe et données bancaires seraient épargnés. Le risque se déplace donc vers votre boîte mail et votre téléphone : faux colis, faux remboursement.
En bref
- Nom, prénom, adresses postale et e-mail, téléphones et code client interne ont pu être consultés par un tiers malveillant.
- LDLC assure que mots de passe, cartes bancaires et RIB sont intacts, et a signalé l'incident à la CNIL.
- Nombre de clients touchés, date de l'intrusion et méthode de l'attaquant ne sont pas communiqués : l'ampleur réelle reste inconnue.
Le chiffre clé : 2 octobre, date de l'e-mail d'alerte envoyé par LDLC à une partie de ses clients.
Un profil client presque complet a pu être consulté
Le courriel de LDLC dresse une liste longue. Côté identité : nom et prénom. Côté contact : adresses postale et électronique, téléphones fixe et portable, et même un numéro de fax pour ceux qui l'avaient renseigné. Côté compte : la langue, le statut de particulier ou de professionnel, un code client interne, la date de création du compte et celle de la dernière connexion.
La civilité pèse aussi dans la balance. Elle ne se limite pas à Monsieur ou Madame : elle peut afficher Docteur ou Maître, et trahir un métier de médecin, d'avocat ou de notaire.
| Ont pu être consultés | Présentés comme non touchés |
|---|---|
| Nom, prénom, civilité | Mots de passe |
| Adresses postale et e-mail | Identifiants de connexion |
| Téléphones fixe, portable, fax | Numéros de carte bancaire |
| Code client, langue, particulier ou professionnel | RIB |
| Dates de création du compte et de dernière connexion | Aucune compromission des moyens de paiement signalée |
Pris ensemble, ces éléments donnent à un fraudeur un portrait précis de chaque acheteur : qui il est, depuis quand il est client, s'il revient encore sur le site.
Les faux messages les plus probables dans les prochaines semaines
Le danger ne vient pas de la fuite elle-même, il vient après. LDLC le reconnaît : les semaines à venir sont la période sensible. Un escroc qui possède votre nom, votre ancienneté et votre vrai numéro n'a plus besoin de viser large.
Voici les scénarios à garder en tête :
- Le colis bloqué : un message vous appelle par votre nom et réclame un geste pour débloquer une livraison.
- Le remboursement en attente : on vous promet de l'argent, à condition de cliquer ou de confirmer des informations.
- L'appel suspect : un interlocuteur se présente au nom de l'enseigne et vous joint sur votre véritable numéro.
- Le mail qui connaît votre histoire : il évoque votre ancienneté de client, voire votre titre de Docteur ou de Maître.
Le principe reste celui de l'hameçonnage : se faire passer pour une marque de confiance afin de soutirer des informations sensibles. Ici, la marque est celle chez qui vous avez réellement un compte, et les détails sont exacts. C'est ce qui rend le piège crédible.
Quatre réflexes à adopter face à tout message au nom de LDLC
L'enseigne l'écrit noir sur blanc : ses équipes ne vous demanderont jamais de mot de passe, de coordonnées bancaires ni de changement de RIB, que ce soit par e-mail, par SMS ou par téléphone.
- Considérez toute demande de ce type comme fausse, quel que soit le canal utilisé.
- Vérifiez l'expéditeur et l'adresse réelle vers laquelle mène un lien avant de cliquer.
- Ne donnez pas suite à un appel suspect : recontactez l'enseigne par ses canaux habituels.
- Apprenez à repérer un message piégé grâce aux conseils du site public Cybermalveillance.gouv.fr, que LDLC recommande.
Les clients professionnels sont particulièrement visés, puisque leur statut figure parmi les données exposées. Pour eux, toute demande de modification bancaire mérite un examen attentif avant d'agir.
L'ampleur de la fuite reste inconnue
Le message aux clients laisse beaucoup de questions ouvertes. LDLC ne dit pas combien de personnes sont concernées, ni à quelle date l'intrusion a eu lieu, ni comment l'attaquant s'y est pris. L'identité de l'auteur n'est pas connue non plus.
On ignore même si les données ont simplement été consultées ou bien copiées. Rien ne permet d'affirmer qu'une base complète a été aspirée.
Côté réaction, l'entreprise affirme avoir isolé l'outil visé dès la détection, revu la façon d'accéder à ses systèmes et signalé l'incident à la CNIL, comme la loi l'impose en cas de violation de données personnelles.
LDLC a déjà connu trois incidents depuis 2021
Pour l'enseigne, cet épisode a un air de déjà-vu. Elle avait subi une attaque par rançongiciel fin 2021. Une première fuite de données clients est ensuite survenue début 2024, puis une seconde en décembre de la même année.
Si vous aviez déjà reçu des messages douteux après ces épisodes, la vigilance s'impose d'autant plus. Vos informations de contact peuvent circuler depuis un moment, et les nouvelles données consultées viennent compléter le tableau.
Vos questions
Mon mot de passe LDLC a-t-il été exposé ?
D'après LDLC, non. L'enseigne affirme que les mots de passe et les identifiants de connexion n'ont pas été touchés. Elle répète aussi qu'elle ne vous les demandera jamais par e-mail, SMS ou téléphone.
Mes données bancaires sont-elles concernées ?
LDLC assure que les RIB et les numéros de carte bancaire n'ont pas été atteints. Sa notification ne fait état d'aucune compromission des moyens de paiement. Les clients professionnels doivent toutefois se méfier de toute demande de changement de RIB.
Combien de clients LDLC sont touchés ?
Le chiffre n'est pas communiqué. L'enseigne ne précise ni la date de l'intrusion ni la méthode employée. Elle ne dit pas non plus si les données ont été copiées ou seulement consultées.
Sources : clubic.com, numerama.com.