Le Groupement Les Mousquetaires a confirmé lundi 3 août à l’AFP qu’Intermarché avait subi « un incident de cybersécurité » la semaine précédente, visant son service de courses en ligne. 287 605 clients du Drive sont concernés, sur environ deux millions d’utilisateurs du service. L’information avait d’abord été repérée par le site French Breaches.
Quelles données ont fuité
Selon l’enseigne, des cybercriminels ont accédé à une partie de ses bases de données clients. Pour les personnes concernées, les informations exposées sont :
- nom et prénom ;
- adresse postale ;
- numéro de téléphone ;
- date de naissance ;
- numéro de carte de fidélité ;
- certaines informations relatives aux commandes passées sur le Drive.
Intermarché affirme en revanche que les coordonnées bancaires, les mots de passe, les adresses e-mail et les soldes de cagnotte fidélité ne sont pas concernés. L’enseigne n’a pas communiqué sur la manière dont les attaquants sont entrés, ni sur une éventuelle revendication.
Ce qu’a fait Intermarché
- Les clients concernés ont été prévenus directement par e-mail.
- La violation de données a été notifiée à la CNIL, comme l’exige le RGPD.
- Le groupement a déposé plainte auprès du parquet de Paris.
- Des investigations se poursuivent pour vérifier si d’autres utilisateurs du Drive sont touchés : le chiffre de 287 605 pourrait donc évoluer.
Pourquoi c’est un vrai risque, même sans données bancaires
L’association nom + adresse + téléphone + date de naissance est exactement ce qu’il faut pour monter une arnaque crédible. Ajoutez le numéro de carte de fidélité et l’historique de commandes, et un escroc peut se faire passer pour le service client avec des détails que seul Intermarché est censé connaître : « votre commande Drive du 28 juillet n’a pas pu être livrée, merci de confirmer vos coordonnées bancaires ». La date de naissance, elle, sert souvent de question de vérification ailleurs, chez un opérateur ou une banque.
Intermarché met en garde contre les faux messages et appels qui vous demandent de cliquer sur un lien pour « confirmer une commande » ou de communiquer vos coordonnées bancaires. L’enseigne ne vous les demandera pas de cette façon.
Que faire si vous êtes client du Drive Intermarché
- Vérifiez vos e-mails : si vous êtes concerné, Intermarché vous a écrit. Méfiez-vous toutefois des faux e-mails « de notification » qui pourraient circuler à leur tour : ne cliquez sur aucun lien, passez par l’application ou le site officiel.
- Ne donnez jamais vos coordonnées bancaires à la suite d’un appel ou d’un SMS non sollicité, même si l’interlocuteur connaît votre nom, votre adresse et vos dernières commandes.
- Signalez les SMS frauduleux au 33700 et les sites d’hameçonnage sur la plateforme gouvernementale cybermalveillance.gouv.fr.
- Surveillez votre compte fidélité et contactez le service client en cas d’utilisation que vous ne reconnaissez pas.
Si vous estimez que vos données ont été mal protégées, vous pouvez aussi adresser une réclamation à la CNIL.