Fuite de données chez Achat-Or-Et-Argent.fr : des données clients exposées après un accès non autorisé
ID Protect alerte sur un nouvel incident de sécurité touchant le site Achat-Or-Et-Argent.fr, spécialisé dans l’achat et la vente d’or et d’argent d’investissement.
L’entreprise a informé ses clients qu’un accès non autorisé à une partie de son système d’information avait été détecté puis immédiatement interrompu.
Même si l’entreprise indique qu’aucune donnée bancaire ou document réglementaire n’aurait été compromis, les informations exposées demeurent particulièrement sensibles et peuvent alimenter des tentatives de fraude ciblée.
Quelles données seraient concernées ?
Selon la notification adressée aux clients, l’incident pourrait avoir exposé plusieurs catégories de données d’identification et de contact :
- nom et prénom ;
- adresse e-mail ;
- numéro de téléphone ;
- adresse de domicile ;
- historique des commandes.
L’entreprise précise en revanche qu’aucune donnée bancaire, aucun mot de passe et aucun document réglementaire ne seraient concernés. Elle indique également que ses systèmes centraux et ses bases de données seraient restés sécurisés.
Une analyse technique approfondie aurait été menée après la découverte de l’incident. Une notification à la CNIL ainsi qu’un dépôt de plainte auprès des autorités judiciaires ont également été effectués.
Pourquoi cette fuite est-elle particulièrement sensible ?
Contrairement à une idée reçue, une fuite de données ne nécessite pas la présence de coordonnées bancaires pour représenter un risque important.
La combinaison d’un nom, d’une adresse, d’un numéro de téléphone et d’un historique de commandes constitue une base d’informations particulièrement intéressante pour les cybercriminels.
Dans ce cas précis, la nature même de l’activité d’Achat-Or-Et-Argent.fr ajoute une dimension supplémentaire : les personnes concernées sont identifiées comme ayant manifesté un intérêt pour l’or ou l’argent d’investissement.
Pour un fraudeur, cette information permet de construire des scénarios d’attaque extrêmement crédibles.
Quels risques concrets pour les clients ?
Des campagnes de phishing très personnalisées
Les cybercriminels pourraient se faire passer pour :
- Achat-Or-Et-Argent.fr ;
- un transporteur ;
- une banque ;
- un service de conformité ;
- une administration fiscale.
En connaissant l’identité du client et son historique de commandes, ils peuvent envoyer des messages particulièrement convaincants évoquant :
- une livraison ;
- une vérification réglementaire ;
- une facture ;
- une confirmation d’achat ;
- une demande de mise à jour de dossier.
Ce type de phishing personnalisé affiche généralement des taux de réussite beaucoup plus élevés que les campagnes d’hameçonnage classiques.
Des tentatives d’escroquerie téléphonique
Les numéros de téléphone exposés peuvent également être exploités pour réaliser des appels frauduleux.
Un escroc disposant du nom du client et de son historique d’achat est en mesure de créer un sentiment de confiance en évoquant des opérations réelles ou supposées.
L’objectif est généralement d’obtenir :
- des informations complémentaires ;
- des justificatifs d’identité ;
- des coordonnées bancaires ;
- une validation d’opérations frauduleuses.
Un risque accru d’usurpation d’identité
L’adresse postale et les informations d’identification peuvent également servir à alimenter des tentatives d’usurpation d’identité.
Même si cette fuite ne contient pas de pièces d’identité, les données exposées peuvent être croisées avec d’autres informations déjà disponibles à la suite de précédentes fuites de données ayant touché des entreprises françaises et des administrations publiques.
Comment réagir si vous êtes concerné ?
Si vous êtes client d’Achat-Or-Et-Argent.fr, plusieurs mesures de précaution sont recommandées :
- redoubler de vigilance face aux appels, SMS et e-mails inattendus ;
- ne jamais cliquer sur un lien reçu sans vérification préalable ;
- ne jamais transmettre de document d’identité ou d’informations bancaires par téléphone ou par e-mail ;
- vérifier attentivement l’expéditeur de chaque message reçu ;
- surveiller toute activité inhabituelle sur vos différents comptes.
La vigilance doit être maintenue sur plusieurs mois. Les données issues de ce type de fuite peuvent être revendues ou réutilisées longtemps après la découverte de l’incident.
Les fuites de données ne sont plus des événements isolés
Cette nouvelle compromission illustre une tendance désormais bien installée : même lorsqu’aucune donnée bancaire n’est exposée, les informations d’identité et de contact représentent une valeur importante pour les cybercriminels.
Une simple liste de noms, d’adresses, de numéros de téléphone et d’historiques de commandes peut suffire à alimenter des campagnes de fraude sophistiquées et très ciblées.
Chez ID Protect, nous rappelons qu’une fuite de données doit toujours être considérée comme un signal d’alerte. La protection de l’identité numérique repose désormais autant sur la sécurisation des systèmes que sur la capacité des particuliers à détecter rapidement les tentatives d’exploitation de leurs données personnelles.
Contactez-nos experts pour en savoir plus sur nos services de protection de votre identité.
