Chronopost victime d’un « incident » le 29 janvier 2025

La nouvelle tourne sur les réseaux sociaux, avec des clients qui expliquent avoir reçu un e-mail de Chronopost suite à une cyberattaque et une fuite de données (ici par exemple). Coup de bluff d’un pirate en quête de notoriété ou vraie annonce ? Nous avons contacté la société qui nous confirme « avoir été victime le 29/01/2025 d’un incident ayant conduit à un vol d’une partie des données personnelles de certains de nos clients ».

• Fuites chez EDF : bourrage d’identifiants et coup de bluff du pirate

La signature dans la nature, en plus d’autres données personnelles

La société ne précise pas les données dérobées, mais donne des détails dans le courrier envoyé aux clients : nom, prénom « et dans certains cas » le numéro de téléphone, l’adresse postale et « la signature telle qu’apposée sur nos preuves de livraisons ».

Ce dernier élément est « nouveau » dans la liste de données ayant fuité, mais il peut faire de gros dégâts si on le combine aux RIB pour « signer » de fausses autorisations de prélèvement par exemple… à condition que la signature soit un tant soit peu réaliste. Apposer une signature propre sur un petit écran tactile est souvent une gageure.

Pour Chronopost, l’incident est clos

Chronopost ajoute que « cet incident, qui n’est pas lié à un rançongiciel, a été maîtrisé dès sa prise de connaissance et est désormais clos ». L’entreprise nous affirme avoir notifié la CNIL « dans les délais impartis » et avertir les clients concernés. Une enquête a immédiatement été ouverte avec l’aide d’experts en cybersécurité. 

Comme toujours en pareille situation, Chronopost leur demande de « rester vigilants face à toute sollicitation suspecte pouvant conduire à l’utilisation de leurs données à des fins de spam ou de tentatives de phishing ».

De son côté, la société a « renforcé [ses] systèmes, notamment en améliorant la sécurité de l’application impactée et [sa] réponse face aux événements suspects ».

Le service presse de Chronopost n’a pas souhaité nous donner de précisions supplémentaires sur le nombre de clients concernés ni sur la liste précise des données dérobées.

Une fuite de plus dans un océan de cyberattaques

Bref, une fuite de plus à ajouter à la très longue liste des entreprises victimes de cyberattaques réussies ces derniers mois : Boulanger, Cultura, DiviaMobilités, Truffaut, Cybertek et Grosbill (qui font partie du même groupe), l’Assurance retraite, RED by SFR, Meilleurtaux, Ornikar, Free (fixe et mobile), Picard, Molotov, Auchan et le Point, un client de Mediboard, Direct Assurance, Norauto, des fédérations françaises de sport, E.Leclerc, Aides.org…

Sans compter que parfois ce sont les internautes eux-mêmes qui partagent leurs propres données bancaires à la demande d’un influenceur.

• Échec collectif : des RIB partagés en direct sur Twitch… à la demande d’un influenceur