Dans une communication à ses clients, Le Slip Français reconnait avoir été victime d’un « acte de malveillance informatique » : « le 15 avril dernier nous avons eu connaissance que certaines données personnelles de nos clients ont malheureusement été volées par des hackeurs ».

« Vous êtes désinscrits », mais concernés quand même par la fuite

Pour d’autres clients, un email différent est envoyé. Il précise au début que : « Vous êtes désinscrits de nos bases de données mais nous avons malheureusement été victimes d’un acte de malveillance informatique que nous avons notifié à la CNIL ce jour et dans ce cadre, conformément à la loi, nous nous devons d’informer les personnes susceptibles d’être affectées par cet acte malveillant. Tel est l’objet de la présente communication ».

Voici une copie des deux emails reçus par des clients (à gauche ceux qui sont « désinscrits », à droite les autres) :

Dans les commentaires de notre brief, plusieurs lecteurs nous indiquent avoir reçu l’email indiquant avoir été « désinscrits de nos bases de données ». Sur les réseaux sociaux, aussi, des clients font part de leur étonnement et se demandent pourquoi ils sont dans la fuite de données.

Quelques retours que nous avons eu. « J'ai été client chez eux en 2018 et n'ai plus eu aucun contact avec cette marque depuis. Or depuis l'année dernière ils m'arrosent d'emails. Je leur ai signalé en début d'années que six ans plus tard il n'était pas normal qu'ils aient encore mes données ».

« J'avais demandé à ce que mon compte soit supprimé il y a plusieurs années de cela. Apparemment lorsqu'ils ont effectué la migration de leur site (en 2023 de souvenir) cela a réactivé tout plein de comptes y compris les souscriptions aux newsletters », ajoute un autre.

« Effectivement comme client j’ai modifié mon adresse mail depuis mes premières commandes et je reçois leur mail concernant leur hack sur ces deux adresses alors qu’elle n’apparaît plus dans mon profil », indique un troisième.

Plus de 1,5 million de clients touchés ?

Sur un forum spécialisé dans la publication de données dérobées, un certain ShopifyGUY publiait samedi 13 avril un message annonçant avoir « mis en ligne la base de données » du Slip Français, « que vous pouvez télécharger ». La fuite avait d'ailleurs dans la foulée été relayée sur Twitter/X par plusieurs observateurs du dark web et des forums de vente de données volées. Deux jours avant que l’entreprise n’identifie la fuite et quatre jours avant la communication aux clients.

« Il y a 1 506 395 emails, dont 696 144 informations complètes sur les clients : adresses email, noms, numéros de téléphone, adresses physiques et achats », précise le message sur le forum. Le pirate propose également un « échantillon » avec des données sur pas moins de 611 clients.

Nous avons interrogé l’entreprise sur le nombre de clients impactés, mais elle n’a pas souhaité s'étendre (sa réponse est disponible en fin d’article).

Un sample de 611 clients accessibles en ligne

Si la publication sur le forum n’est plus disponible depuis hier, le fichier « démo » peut malheureusement encore être téléchargé à l’heure actuelle. Il comporte plusieurs informations, notamment les noms, adresses, emails et numéros de téléphone. On y retrouve aussi des variables comme « email_marketing_consent », « tax_exemptions », « orders_count », etc.

Voici un exemple pour une entrée, où nous avons rajouté des « xxx » pour ne pas dévoiler de données personnelles :

Confirmation de la véracité des infos sur… le site du Slip Français

L’entreprise propose un suivi de livraison sur son site, nous avons tenté de voir ce qu’il en était avec plusieurs entrées du fichier sample. Il suffit en effet de rentrer une adresse email et un code postal pour consulter les commandes du client. D’un clic, on a également accès au suivi détaillé du transporteur.

Voici deux exemples issus du fichier de démonstration :

La (très vague) réponse du Slip Français

Contacté par nos soins, Le Slip Français nous répond par l’intermédiaire de Guillaume Gibault, fondateur de l'entreprise : « Comme indiqué par email à nos clients hier, nous avons été victimes d’un acte de malveillance informatique comme malheureusement beaucoup d’autres organisations ces dernières semaines. Nous prenons le sujet très au sérieux, la sécurité des données de nos clients est notre priorité ».

Nous demandons des précisions sur le nombre de clients concernés et pourquoi certains désinscrits sont par ailleurs affectés. Le responsable botte en touche : « Le travail d’analyse de nos partenaires experts en cybersécurité est en cours et nous ne pouvons pas vous partager plus d'éléments à ce stade ».

Guillaume Gibault nous confirme simplement qu’un « dépôt de plainte pour accès frauduleux dans un système de traitement automatisé de données a été déposé et un signalement a été fait à la CNIL ». « Toutes nos équipes restent mobilisées pour apporter leur concours aux autorités judiciaires qui suivent cet acte frauduleux », ajoute-t-il.

Il s’engage enfin avec sa société à « informer régulièrement [leurs] clients de l’évolution de la situation ».