Début mai, Adidas prévenait par e-mail une partie de la clientèle en Turquie et en Corée du Sud. Les personnes étaient informées que leurs nom, adresse e-mail, numéro de téléphone, adresse postale et date de naissance avaient fuité suite à une attaque.

Nouvelle alerte le 23 mai : le groupe allemand a publié un message sur son site officiel, pour informer qu’une « entité externe non autorisée a obtenu certaines données de consommateurs par l'intermédiaire d'un fournisseur de services à la clientèle tiers ».

« Nous avons immédiatement pris des mesures pour contenir l'incident et avons lancé une enquête approfondie, en collaboration avec des experts de premier plan en matière de sécurité de l'information », ajoute Adidas.

L’entreprise tente de rassurer, en précisant que ni les données bancaires ni les mots de passe n’ont été volées. « Il s'agit principalement d'informations de contact relatives à des consommateurs qui ont contacté notre service d'assistance à la clientèle par le passé ». On serait dans le même cas de figure que lors des fuites signalées plus tôt dans le mois. Mais ces informations n’en sont pas moins problématiques, car elles alimentent des bases utilisées ensuite par des acteurs malveillants pour des campagnes de phishing, voire des usurpations d’identité.

« Nous restons pleinement engagés à protéger la vie privée et la sécurité de nos consommateurs, et nous regrettons sincèrement tout désagrément ou toute inquiétude causés par cet incident », précise bien sûr Adidas.

Plusieurs médias, dont Bleeping Computer et Cybernews, ont posé la question à Adidas : cette fuite est-elle liée aux deux précédentes signalées il y a quelques semaines ? Hier encore, l’entreprise n’avait pas répondu. Pas plus qu’aux autres demandes : on ne sait pas qui est le fournisseur tiers piraté, ni le nombre de personnes concernées, ni quand l’attaque a eu lieu. On ignore également si les propres systèmes d’Adidas ont pu être affectés.

Ce n’est pas la première fois qu’Adidas est victime d’une fuite de données. En 2018, un incident avait exposé plusieurs millions de personnes. Les données bancaires n’étaient pas concernées, mais les mots de passe (heureusement chiffrés) faisaient partie du lot.