Début mars, Darty a été victime de tentatives d'accès à des comptes utilisateurs. L'enseigne nous explique qu'aucune fuite de données n'est à signaler, mais que des mesures ont tout de même été prises. Prochainement, elle lancera une campagne d'information sur la sécurité auprès de l'ensemble de ses clients.

Comme nous avons (trop) souvent l'occasion de l'évoquer dans nos colonnes, les fuites de données sont monnaie courante, parfois avec des milliers, voire des millions d'identifiants et mots passe (plus d'un milliard de comptes chez Yahoo, 167 millions chez LinkedIn, 68 millions chez Dropbox, etc.). Dans ce dernier cas, ce n'est pas toujours une empreinte qui est stockée par les sites, mais le mot de passe lui-même, que les pirates arrivent parfois à récupérer en clair.

Quand une base d'identifiants/mots de passe sert de vecteur d'attaque

Ils disposent alors de gigantesques bases de données avec des identifiants, des adresses email et les mots de passe associés (parfois avec d'autres informations personnelles). Si certains mènent des campagnes de phishing afin de tenter de récupérer des informations récentes, d'autres s'en servent pour créer des attaques ciblées et essayer d'accéder à des comptes. Le but étant de viser les personnes qui utilisent le même mot de passe sur plusieurs services, une pratique qu'il faut éradiquer.

Nous avons pu apprendre que c'est justement la situation à laquelle a été récemment confronté Darty. Contacté par nos soins, le revendeur confirme, ajoute qu'il n'y a eu « aucune fuite de données » et nous détaille les mesures de protection qui ont été mises en place.

Darty alerté à cause d'un grand nombre d'échecs de connexion

Début mars, le revendeur a enregistré un très grand nombre d'échecs de connexion (plusieurs centaines de millers), ce qui a déclenché des alertes. Darty nous explique qu'un (ou des) pirate avait probablement récupéré une base de données avec des mots de passe en clair et l'utilisait afin de tenter de se connecter à des comptes clients. Une attaque basique qui consiste simplement à tenter les différentes combinaisons les unes à la suite des autres, ce qui explique le grand nombre d'erreurs.

Une fois la menace identifiée et canalisée, un point restait tout de même à éclaircir : trier les connexions acceptées pendant cette période afin de mettre d'un côté celles provenant de clients légitimes, et de l'autre celles de l'attaquant. Une vérification des comptes qui se sont connectés début mars a ainsi été lancée par les équipes techniques de Darty.

Pour Darty, tout va bien suite à cette cyberattaque

Après une analyse de ceux qui étaient potentiellement touchés, le revendeur est en mesure de nous affirmer qu'il n'y a détecté aucune fuite, modification frauduleuse des paramètres du compte ou problème concernant une commande qui aurait pu être passée par le pirate. Sur son site, Darty ajoute que les informations bancaires ne sont de toute façon « pas enregistrées sur nos serveurs (c'est pourquoi nous vous demandons de les fournir à nouveau pour chacun de vos achats) ».

Par mesure de sécurité, l'entreprise nous explique tout de même avoir procédé à une réinitialisation d'office des mots de passe des clients qui se sont connectés durant cette période. Une communication avait été faite à l'époque via les réseaux sociaux, mais sans vraiment s'étendre sur les détails.

Il était en effet parfois question d'une « procédure de sécurité », d'une « maintenance informatique » ou d'une « précaution suite à un nombre important de connexions sur l'espace client ». Les community managers ne savaient visiblement pas trop sur quel pied danser sur Twitter.

Règles de sécurité : Darty va communiquer plus largement vers ses clients

Maintenant que tout est rentré dans l'ordre, l'enseigne se prépare à lancer une « communication massive » envers ses clients. Le but ? Rappeler les règles à suivre afin d'assurer une bonne sécurité à ses comptes en ligne. Celle-ci ne sera pas axée sur les événements de débuts mars et se veut un rappel général. Une idée qui va dans le bon sens et qui ne peut être que bénéfique pour les utilisateurs au final.

Il devrait y être question de principes de base qui devraient être appliqués par tout un chacun depuis déjà longtemps : ne pas utiliser deux fois le même mot de passe, le changer régulièrement et en choisir un suffisamment robuste. Le but étant de pousser les clients qui ne respecteraient pas ces règles à se mettre à jour.

La société ajoute qu'elle se laissera ensuite la possibilité de passer la seconde et de lancer une procédure de réinitialisation des mots de passe pour les clients dont le dernier changement remonte à avant 2016.

Pour rappel, nous avons publié un dossier sur le sujet : 

• Choisir un bon mot de passe : les règles à connaître, les pièges à éviter
• Mots de passe : on vous aide à choisir le gestionnaire qu'il vous faut

Concernant cette campagne d'information, on regrette simplement qu'elle ne concerne que les clients Darty et pas ceux de la Fnac. Pour rappel, les deux sociétés appartiennent au même groupe, mais elles sont encore distinctes au niveau des systèmes informatiques nous précise le revendeur pour expliquer son choix.

Une plainte a été déposée par Darty

Darty nous confirme au passage qu'une plainte a été déposée et que les éléments en sa possession ont été donnés à la police afin qu'elle puisse mener son enquête. Cette dernière étant toujours en cours, nous n'en saurons pas davantage sur ce point.