Loblaw découvre un manque de données de faible niveau et le risque de fraude destiné aux clients

Lorsqu'une chaîne de détail de la taille de Loblaw - avec des milliers de magasins, des centaines de milliers d'employés et des ventes pour des dizaines de milliards de dollars par an - annonce qu'elle a détecté une intrusion dans son réseau, il est compréhensible que de nombreux clients soient concernés. L'entreprise a confirmé qu'elle avait détecté des activités suspectes dans une partie limitée de son infrastructure informatique et qu'après enquête, les agresseurs ont pu accéder aux renseignements de base sur les clients tels que les noms, les courriels et les numéros de téléphone. Vous pouvez lire la déclaration officielle de l'entreprise ici: Loblaw: notification d'un manque de données de faible niveau.

Il est important de mettre cela en contexte. Loblaw exploite un vaste réseau de ventes et de services - environ 2 500 établissements qui comprennent des supermarchés, des pharmacies, des solutions bancaires et des marques propres - et est immergé dans un ambitieux plan d'expansion et d'investissement qui comprend l'ouverture de nouveaux magasins dans les années à venir. Pour mieux comprendre cette dimension commerciale, la société a récemment publié des détails sur sa croissance attendue: Loblaw: plan d'investissement et d'expansion. Cette échelle explique pourquoi tout incident de sécurité attire beaucoup d'attention : même les fuites de données limitées peuvent avoir un impact important en termes de tentatives de fraude et de remplacement de l'identité.

Selon les informations communiquées par l'entreprise elle-même, l'intrusion a affecté une partie contrôlée et non critique de son réseau. Les données présentées correspondent à des informations personnelles de base - PII - qui, bien qu'elles n'incluent pas de mots de passe, de données de paiement ou d'informations médicales selon l'enquête initiale, peuvent suffire pour que les acteurs malveillants tentent d'hameçonner des campagnes ou des fraudes ciblées. Cela ne signifie pas qu'il y ait un problème financier immédiat pour toutes les personnes concernées, mais cela augmente le risque de recevoir des communications frauduleuses bien ciblées..

Par mesure de précaution, Loblaw a fermé les sessions actives de tous les utilisateurs sur leurs plateformes numériques, forçant ceux qui ont besoin d'authentifier. La société a également souligné que sa marque de services financiers, PC Financial, ne montre aucune preuve d'avoir été engagée jusqu'à présent. Entre-temps, les chercheurs en cybersécurité et les journalistes n'ont pas trouvé - du moins publiquement - de revendications de responsabilité ou de vente de données attribuables à cet incident dans des forums clandestins, ce que les groupes criminels font souvent lorsqu'ils veulent faire pression pour extorquer ou monétiser les informations compromettantes. Des ressources d'analyse et de suivi peuvent être consultées dans des médias spécialisés tels que: Calculateur.

Que devraient faire les clients touchés ou potentiellement touchés? Tout d'abord, garder l'alerte à tout courriel ou message inattendu de demander des données, de fournir des liens pour "vérifier" des informations, ou d'avoir des caractères étrangers dans les expéditeurs et les adresses Web. Il est donc recommandé de ne pas appuyer sur des liens ou télécharger des pièces jointes d'origines non vérifiées. De plus, bien que l'entreprise n'ait pas signalé de mots de passe ou de cartes, il est sage de modifier les identifiants d'accès au compte associé et d'activer l'authentification de deux facteurs dans la mesure du possible. Pour des guides pratiques sur la façon de reconnaître et d'éviter l'hameçonnage des courriels, les autorités de sécurité publique et de cybersécurité offrent du matériel utile, par exemple, le centre américain de cybersécurité publie des recommandations dans: CISA: éviter l'ingénierie sociale et le phishing et le Commissariat canadien à la protection de la vie privée est une ressource précieuse pour comprendre les droits et les mesures à prendre dans les cas d'incidents liés aux données : Priv.gc.ca.

Du point de vue des entreprises et de la sécurité, ce type d'épisode met à nouveau en évidence deux réalités : la première, que même les zones « non critiques » des grandes organisations peuvent être des vecteurs d'accès qui conduisent à l'exposition aux données; la seconde, que la meilleure préparation n'élimine pas complètement le risque, mais réduit l'impact. Il est courant que les entreprises aient des plans d'intervention en cas d'incident, une segmentation du réseau et des contrôles d'accès stricts pour contenir les intrusions; toutefois, les attaquants continuent de rechercher des voies d'entrée moins surveillées. La notification publique de Loblaw et les mesures qu'elle a prises (comme les séances de clôture et la communication proactive) sont des mesures qui aident à limiter les dommages et à alerter les utilisateurs.

En termes pratiques, et avec un look personnel: si vous êtes client de Loblaw ou de l'une de ses marques, vérifiez votre email pour les messages suspects, changez votre mot de passe si vous l'utilisez dans différents services, activez des mécanismes de sécurité supplémentaires et gardez un oeil sur les communications officielles qui expliquent comment procéder. Si vous détectez des tentatives de fraude, gardez des preuves et signalez-les à la fois à l'entreprise et aux autorités compétentes. La prévention et l'intervention rapide demeurent les meilleures défenses contre les cybercriminels.

Enfin, cet incident s'inscrit dans une tendance plus large : les attaques contre le secteur de la vente au détail et les services aux consommateurs continuent d'être rentables pour les cybercriminels qui utilisent des données apparemment « de base » pour créer des escroqueries à grande échelle. À la suite des mises à jour officielles de Loblaw et de la consultation des sources de confiance, il est essentiel de séparer la désinformation du risque réel. La sécurité numérique est une responsabilité partagée entre les entreprises et les utilisateurs.