Boulanger et Cultura victimes d’une fuite de données

Boulanger, spécialiste français de l’électroménager grand public, et Cultura, enseigne de vente de biens culturels, ont annoncé, les 9 et 10 septembre 2024, avoir été victimes d’une fuite de données. Les deux affaires ne semblent pas liées.

Boulanger a informé par mail ses clients, le 9 septembre 2024, qu’un « acte de cybermalveillance » l’avait frappé dans la nuit du vendredi 6 au samedi 7 septembre. Selon l’entreprise, les « données récupérées concernent uniquement les adresses de livraison », et aucune coordonnée bancaire n’est concernée. Rassurant, le message ne contient aucune excuse.

La fuite pourrait toutefois être plus grave. Le 7 septembre 2024, un pirate informatique a en effet mis en vente sur BreachForums une base de données appartenant prétendument à Boulanger, comprenant 27,5 millions de lignes. En plus des adresses postales, elle comporterait les noms, prénoms et adresses mail des clients concernés.

De son côté, Cultura a reconnu, le 10 septembre 2024, avoir subi l’exfiltration malveillante des données personnelles de 2,5 millions de ses clients. Les informations dérobées comprennent nom, prénom, adresse e-mail, adresse postale, date de naissance, numéro de téléphone, ainsi que des détails sur les produits commandés. Ni les mots de passe ni la moindre donnée bancaire n’aurait été exposés.

La fuite proviendrait d’une vulnérabilité chez un prestataire informatique, que Cultura partage avec d’autres enseignes, comme PepeJeans, Grosbill et CyberTek. Ces dernières n’ont toutefois pas confirmé cette information.

Ces violations génèrent d’importants risques d’attaques par hameçonnage. Les cybercriminels disposent en effet de toutes les informations nécessaires pour se faire passer pour Boulanger, Cultura, voire un autre tiers, auprès des clients exposés.