Mise à jour du 9 septembre à 17h53 :  
Contacté, Boulanger nous précise que « les données récupérées sont uniquement des données de livraison (adresse, mail, téléphone) » et que la fuite « concerne uniquement quelques centaines de milliers de clients ». Le brief a été mis à jour.

Article original du 9 septembre à 16h14 : C’est via un email des plus laconique (merci aux lecteurs qui nous l’ont fait suivre) que l’enseigne annonce à ses clients avoir « été victime d’un acte de cybermalveillance sur une partie de [ses] informations clients » dans la nuit du 6 au 7 septembre. « Les données récupérées sont uniquement liées aux livraisons. Aucune donnée bancaire client n’est concernée ».

L’incident est désormais terminé et la « vigilance renforcée ». Comme toujours en pareille situation, la société promet que la protection des données est sa priorité… mais elle ne donne aucun détail sur la manière dont les pirates ont récupéré les informations.

Et il est toujours facile de faire des promesses après coup, comme l'illustre l’exemple récent de la Scam qui promettait avoir mis en place des « efforts soutenus en matière de prévention et de protection »… mais continuait d’envoyer des mots de passe en clair, par email.

• Cyberattaque Scam : des « efforts soutenus » de protection… aux mots de passe envoyés en clair

Pour en revenir à Boulanger, SaxX. avait déjà annoncé le 7 septembre au matin (soit deux jours avant la communication de la boutique) qu’un pirate avait mis en vente « une base de données comportant 27 561 592 lignes de #Boulanger », sans toutefois que l'authenticité du fichier ait été confirmée.

Contactée, Boulanger ne confirme pas ce chiffre de 27 millions et nous précise que « les données récupérées sont uniquement des données de livraison (adresse, mail, téléphone) et concerne uniquement quelques centaines de milliers de clients. Aucune donnée bancaire client n’est concernée. D’ores et déjà, l’incident a été circonscrit et l’ensemble de nos clients a été informé ».

Le pirate explique qu’il faut le contacter par Telegram pour avoir le prix de vente. « On retrouve entre autre comme information dans cette base de données : Nom, Prénom, Numéro Téléphone, Adresse postale complète, Coordonnées géographiques (latitude et longitude), Email… », affirme SaxX, qui précise par ailleurs que, selon le pirate, la fuite daterait « d'il y a quelques jours… probablement courant août 2024 ». Une proximité qui interroge, même si l'existence et le contenu de cette base de données n'ont pas été vérifiés, à plus forte raison quand Boulanger se borne à parler d’un incident sans préciser l’ampleur des dégâts et quelles sont les données exactement concernées.

Comme toujours, le risque pour les consommateurs est une tentative de phishing. Une personne malveillante peut tenter de se faire passer pour Boulanger en utilisant les données dérobées pour ensuite vous en soutirer d’autres. Prudence donc.

« Depuis qu’existe la lutte contre la cybercriminalité, les liens avec le monde de la recherche n’ont jamais été aussi riches qu’aujourd’hui », explique le 8ᵉ numéro de La MInute Cyber, la lettre d'information du Commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI), qu'il a partagée sur LinkedIn et X.com.

Rédigée par des experts cyber de la gendarmerie, elle évoque plusieurs des nombreux projets académiques et universitaires auquel le Commandement contribue. Elle rappelle que « la communauté française de recherche en cybersécurité est en effet particulièrement riche et couvre de nombreuses dimensions et approches qui contribuent à la lutte contre les cybermenaces », y compris du côté des sciences sociales :

« Le COMCYBER-MI milite notamment pour renforcer les liens entre les sciences de l’information et les sciences humaines, et nos nombreux échanges avec la communauté montrent qu’il existe un fort intérêt en ce sens. »

En termes feutrés et choisis, le COMCYBER-MI relève par ailleurs que la proposition de la Commission européenne de règlement renforçant la lutte contre les abus sexuels sur mineurs, surnommé #ChatControl par ses nombreux opposants, soulève un certain nombre de problèmes.

Si le renforcement de la prévention et de la lutte contre les abus sexuels sur mineurs « constitue une priorité des autorités françaises », rappelle le COMCYBER-MI, « à l'échelon européen, le compromis est cependant difficile à obtenir en raison des divergences de positions sur la proportionnalité des injonctions de détection et l’atteinte au chiffrement de bout en bout ».

Certains États sont ainsi « extrêmement réservés » au sujet de la proposition de « recherche indifférenciée de contenus et du grooming dans les communications privées », au motif que les technologies de détection des contenus nouveaux et du grooming (ou « pédopiégeage », sollicitation d'enfants à des fins sexuelles, y compris en se faisant passer pour un mineur) « ne sont pas assez matures » pour éviter un risque élevé de « faux positifs », souligne le COMCYBER-MI :

« En outre, il semble très complexe de prévoir un système de détection obligatoire pour les communications interpersonnelles chiffrées sans affaiblir le chiffrement, et porter ainsi atteinte au droit au respect de la vie privée. »

Une analyse qui fait écho à certains des arguments avancés il y a quelques mois dans une lettre ouverte co-signée par plus de 300 scientifiques et chercheurs de 35 pays, ainsi qu'aux « preuves scientifiques » collectées par l'ONG EDRi ayant, elles aussi, démontré l'infaisabilité technique de cette proposition. Elles sont d'ailleurs si nombreuses que l'ONG en est venue à qualifier le texte de « projet de loi européen le plus critiqué de tous les temps ».

• Pédocriminalité : l’usine à gaz européenne pour scanner photos et vidéos dans les messageries
• Détection des contenus pédosexuels : le « projet de loi européen le plus critiqué de tous les temps »