Fuite de données chez Intermarché : 287 605 clients concernés, les risques à connaître et les démarches à suivre

Après une fuite de données chez Intermarché, 287 605 utilisateurs du service Drive ont été informés qu’une partie de leurs informations personnelles avait pu être consultée ou volée. Les données bancaires, les mots de passe et les montants des cagnottes ne feraient pas partie du périmètre concerné. Les clients doivent toutefois rester vigilants face aux faux SMS, appels et demandes de paiement frauduleuses utilisant de véritables informations pour paraître crédibles.

287 605 clients identifiés, pas deux millions de victimes

Le dernier chiffre communiqué par le Groupement Mousquetaires reste de 287 605 clients d’Intermarché Drive identifiés comme concernés, sur environ deux millions d’utilisateurs du service. Cela représente près de 14,4 % de la clientèle annoncée du Drive.

Ce pourcentage reste un ordre de grandeur. Les investigations se poursuivent et d’autres personnes pourraient encore être ajoutées au bilan.

Le Groupement Mousquetaires a indiqué avoir informé individuellement les clients déjà recensés, notifié l’incident à la Commission nationale de l’informatique et des libertés et déposé plainte. La date précise de l’accès non autorisé, sa durée, la méthode employée et la quantité de données effectivement copiées n’ont pas été rendues publiques.

Il serait donc inexact de présenter les quelque deux millions d’utilisateurs du Drive comme autant de victimes confirmées. Rien ne permet non plus d’affirmer que tous les clients achetant uniquement en magasin ou tous les détenteurs d’une carte de fidélité Intermarché sont concernés. L’incident porte sur des données liées à l’utilisation du service Drive.

Identité, téléphone et commandes : le périmètre déclaré

Intermarché n’a pas publié de page publique détaillant l’ensemble des informations concernées. La liste disponible provient de la notification adressée aux personnes identifiées, reproduite par le site spécialisé French Breaches.

Selon ce document, les données susceptibles d’avoir été consultées comprennent le nom, le prénom, la date de naissance, le numéro de téléphone, l’adresse de facturation et le numéro de carte de fidélité. Pour les clients ayant réalisé des achats en ligne, le numéro et le montant de certaines commandes peuvent également être concernés.

La notification indique que les coordonnées bancaires, les mots de passe, les adresses électroniques, le montant des cagnottes de fidélité et le détail des produits commandés ne font pas partie du périmètre déclaré.

L’absence de données bancaires limite le risque d’un prélèvement directement provoqué par l’incident. Elle ne met pas les clients à l’abri d’une escroquerie ultérieure. Un fraudeur peut exploiter un nom, un téléphone ou le montant d’une commande pour obtenir volontairement une carte bancaire, un mot de passe ou un code de validation.

Un faux SMS peut connaître le montant d’une véritable commande

Un client pourrait recevoir un message fictif de ce type :

« Bonjour M. Martin, votre commande Intermarché de 82,40 euros est bloquée. Réglez 1,99 euro pour conserver votre créneau de retrait. »

Le nom et le montant peuvent être exacts sans que le message provienne réellement d’Intermarché. Le lien peut conduire vers une copie du site de l’enseigne destinée à récupérer des identifiants ou des coordonnées bancaires.

Cybermalveillance.gouv.fr rappelle que les données provenant d’une violation peuvent alimenter des campagnes d’hameçonnage ciblées, des usurpations d’identité et des tentatives de piratage de comptes. Lorsqu’un message exige une réaction urgente, l’identité de l’interlocuteur doit être contrôlée à partir des coordonnées publiées sur le site officiel de l’organisme.

Sur sa page générale consacrée aux fraudes et au phishing, Intermarché indique ne jamais demander par message des coordonnées bancaires, des mots de passe ou des codes de sécurité. L’enseigne invite également à contrôler attentivement l’adresse du site, un seul caractère modifié pouvant renvoyer vers une page frauduleuse.

Aucune campagne d’escroquerie directement attribuée à cet incident n’était documentée dans les sources consultées au moment de la vérification. Le message présenté ci-dessus illustre donc un risque possible, et non une fraude déjà constatée.

Le formulaire Intermarché reste le point d’entrée pour vérifier son dossier

Les personnes déjà identifiées ont reçu une notification de l’enseigne. L’absence de courrier électronique ne garantit toutefois pas que le compte est définitivement épargné, puisque le périmètre peut encore évoluer.

Pour interroger Intermarché, il faut ouvrir son site officiel, accéder à la rubrique « Aide et contact », puis « Mes données personnelles ». Le client peut ensuite utiliser le formulaire de contact consacré aux données personnelles. Il est préférable de suivre ce chemin depuis le site saisi manuellement, et non depuis un lien transmis dans un message inattendu.

La politique de confidentialité de l’enseigne permet également d’exercer un droit d’accès afin d’obtenir une copie des données détenues et de demander des précisions sur les catégories susceptibles d’avoir été concernées.

Une demande peut être envoyée par le formulaire ou par courrier à l’adresse suivante :

Le responsable du traitement dispose en principe d’un mois pour répondre. Il peut demander des informations complémentaires afin de vérifier l’identité du demandeur ou de retrouver les données concernées. Une réclamation auprès de la Commission nationale de l’informatique et des libertés reste possible en cas d’absence de réponse ou de réponse jugée insuffisante.

Lien ouvert, mot de passe saisi ou paiement effectué : les réactions adaptées

Intermarché affirme que les mots de passe ne figurent pas parmi les informations concernées. Il n’est donc pas nécessaire de considérer automatiquement tous les identifiants comme compromis. Un mot de passe saisi sur un faux site doit en revanche être remplacé sans délai, tout comme un mot de passe faible ou utilisé sur plusieurs services.

Un SMS suspect peut être signalé gratuitement au 33700. Un courriel frauduleux peut être transmis à Signal Spam et l’adresse d’un faux site à Phishing Initiative. Les messages, captures d’écran, numéros de téléphone et adresses des pages visitées doivent être conservés.

En cas de paiement frauduleux, d’usurpation d’identité ou d’utilisation abusive des données, Cybermalveillance.gouv.fr recommande de réunir les preuves et de déposer plainte auprès d’un commissariat, d’une brigade de gendarmerie ou du procureur de la République.

Avant de répondre, quitter le message reçu

Une demande de paiement, de remboursement ou de confirmation de commande ne doit pas être validée depuis le SMS ou le courriel qui l’annonce. Il faut ouvrir séparément l’application Intermarché ou saisir soi-même l’adresse du site officiel. Si des informations bancaires ont déjà été communiquées, la banque doit être contactée immédiatement.