Jeudi 18 avril, sur un forum spécialisé dans l’échange de données volées, une offre a été publiée par un internaute proposant la vente d’une archive contenant les données de 4,5 millions de clients de la marque d’équipements sportifs Sport2000.
Selon l’offre, le fichier contient des noms, prénoms, adresse e-mail, dates de naissance, adresse physique ainsi que différentes informations liées aux habitudes des clients de la marque comme leur souscription à un programme fidélité ou le montant des achats réalisés par la personne.
Sport 2000 confirme une attaque informatique
Sur son site, Sport 2000 a confirmé vendredi dernier avoir été victime d’un « incident de sécurité » et explique « qu’il est possible que les données des utilisateurs soient compromises ». La société ne donne pour l’instant aucune estimation du nombre de personnes affectées par cette intrusion.
La société assure que les données affectées ne contiennent ni mot de passe ni information bancaire permettant de procéder à un paiement, mais explique avoir entrepris de désactiver temporairement l’accès aux comptes fidélités et mobilisé leurs équipes d’experts et leurs partenaires afin de prendre les mesures visant à limiter les risques.
Sur une autre page, elle précise quelles données sont potentiellement concernées par la fuite de données : on retrouve effectivement les données d’état civil, adresses e-mail, adresses postales et numéros de téléphones, mais aussi des informations liées aux programmes de carte de fidélité, mais aussi la « segmentation » réalisée par Sport2000 en fonction des comportements d’achat des clients. La société explique « poursuivre ses investigations » mais n’a pas souhaité répondre à nos questions.
Motivation financière
La société assure également avoir déposé plainte pour introduction frauduleuse dans un système d’information, et avoir fait un signalement auprès de la CNIL. Elle appelle les utilisateurs à la vigilance à l’égard des tentatives de phishing, mais aussi des faux sites qui pourraient tenter d’imiter ceux de la société.
L’acteur à l’origine de ce piratage est un internaute impliqué dans plusieurs vols de données au cours des derniers mois. A l’heure de la publication, il explique auprès de ZDNet que les données n’ont toujours pas été vendues, mais se dit prêt à supprimer le post et les données contre une contrepartie financière.
Connu sous le pseudonyme de Chatnoir, celui-ci est lié au groupe Epsilon, un groupe de cybercriminels actif depuis le début de l’année 2023. Celui-ci s’est illustré au cours des derniers mois dans plusieurs attaques informatiques telles que le piratage de bases de données appartenant à la société LDLC ou encore Shadow. Outre la revente de données volées, le groupe Epsilon commercialise également un logiciel malveillant de vol de données.