Fuite de données chez Top Achat suite a une cyberattaque

[Marco]

Top Achat, site de vente en ligne de matériel informatique et filiale du groupe LDLC, a annoncé ce jeudi 12 décembre 2024, par mail à ses clients, avoir été victime d'une cyberattaque.

Selon les informations fournies par Top Achat, seules les données telles que le nom, le prénom, l’email et l’adresse des clients ont été dérobées. Une attaque relativement limitée donc, puisque aucune donnée bancaire ni mot de passe n’a été compromise. Cette attaque survient quelques jours seulement après une cyberattaque récente visant LDLC, la société mère. Pour rappel, le groupe LDLC regroupe plusieurs enseignes comme LDLC, Top Achat, Materiel.net et Rue du Commerce.

Pour le moment, peu d’informations supplémentaires ont été communiquées concernant cette cyberattaque. Top Achat précise toutefois avoir pris des mesures pour renforcer la sécurité de ses systèmes d’information.

Espérons qu’aucune nouvelle attaque ne cible les autres sites du groupe, ce qui pourrait gravement nuire à sa réputation. Cette cyberattaque souligne une fois de plus l’importance cruciale de la cybersécurité dans la gestion de données sensibles. Les récentes attaques contre le groupe LDLC, ainsi que celles visant Free ou SFR, mettent en évidence un réel problème dans la protection des données des utilisateurs en France.

[Mathilde3.0]

C'est étonnant que des cybercriminels s'attaquent à ce genre de plateformes.. pour quelles raisons ? 
Heureusement pour les clients de TopAchat, aucune de leurs coordonnées bancaires n'ont été saisies..
Quelles mesures de sécurité ont été mises en place depuis cette attaque ?

---

[Marco]

C'est étonnant que des cybercriminels s'attaquent à ce genre de plateformes.. pour quelles raisons ? 
Heureusement pour les clients de TopAchat, aucune de leurs coordonnées bancaires n'ont été saisies..
Quelles mesures de sécurité ont été mises en place depuis cette attaque ?

---

Les cybercriminels s'attaquent à n'importe quelle plateforme dès lors qu'il y a des données sensibles à récupérer, à revendre ou à utiliser d'une quelconque façon... Ici, malheureusement pour eux et heureusement pour nous, aucune donnée bancaire ni mot de passe n'a été compromise, l'attaque reste donc limitée. Mais ce n'est pas toujours le cas (cf. Free récemment avec la fuite d'IBAN).
De ce que j'en sais, TopAchat a seulement indiqué avoir pris des mesures, sans pour autant les détailler... Peut-être que nous en saurons plus dans les jours à venir, mais le groupe LDLC doit clairement accentuer ses efforts en matière de sécurité, peut-être en t'employant quand tu seras une SISR chevronnée. 

[EnZ0]

Effectivement, ce type d’attaques peut sembler ciblé, mais comme l’a dit Marco, les cybercriminels exploitent toute opportunité dans laquelle des données sensibles peuvent être monétisées. Ici, même si aucune donnée bancaire n’a été compromise, les noms, adresses et emails peuvent tout de même servir à des campagnes de phishing ou à d’autres fraudes en ligne. Cela montre que même les informations "basiques" restent précieuses.

Pour les mesures de sécurité, l’absence de détails est malheureusement courant dans ce genre de situations. Cela peut être pour des raisons stratégiques (ne pas révéler leurs failles aux attaquants) ou parce que les investigations sont encore en cours. Mais il est clair que le groupe LDLC devra redoubler d’efforts pour regagner la confiance des clients, surtout après cette succession d’attaques.

D'ailleurs, est-ce que vous pensez qu’un audit externe de leur sécurité, comme ceux réalisés par des entreprises spécialisées, serait une meilleure approche pour rassurer les utilisateurs et éviter d'autres incidents ?

À suivre de près pour voir si d'autres informations seront communiquées par LDLC, car ces attaques récurrentes mettent en lumière une gestion de sécurité probablement insuffisante. C’est un excellent exemple pour les futurs pros de la cybersécurité SISR !

L'idée d'embauche suggérée est bienvenue 

[Marco]

D'ailleurs, est-ce que vous pensez qu’un audit externe de leur sécurité, comme ceux réalisés par des entreprises spécialisées, serait une meilleure approche pour rassurer les utilisateurs et éviter d'autres incidents ?

Je pense en effet que c'est une bonne idée. Je ne connais pas d'entreprises spécialisées dans ce domaine, mais s'il en existe de sérieuses, capables de délivrer des certifications aux entreprises en fonction de leur niveau de sécurité dans la gestion des données clients, cela renforcerait certainement la confiance des utilisateurs. Un peu comme les systèmes tels que TrustPilot.

[EnZ0]

Il y a de bonnes entreprises pour cela, et pour les certifications également.

Organismes de certification

ANSSI (Agence nationale de la sécurité des systèmes d'information), oui, ça vous parle !

• Délivre la qualification PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information)13
  
• Référence nationale en matière de cybersécurité
  

AFNOR Certification

• Leader de la certification en France
  
• Délivre notamment la certification ISO 270017
  
• Propose des audits initiaux et de suivi
  

Bureau Veritas Certification

• Organisme reconnu mondialement
  
• Réalise des audits selon les normes internationales et référentiels particuliers
  

Entreprises spécialisées

Ziwit

• Groupe français spécialisé en cybersécurité
  
• Qualifié PASSI
  
• Dispose du label France Cybersecurity
  

AlgoSecure

• Qualifiée PASSI depuis 2020
  
• Certifiée ISO 270013
  
• Plusieurs bureaux dont un à Toulouse (2 Rue d'Austerlitz dans un espace coworking je crois, juste au cas où tu voulais tenter un stage )
  

Wavestone (anciennement Solucom)

• Premier cabinet français certifié ISO 27001 pour les audits de sécurité
  
• Acteur majeur dans le conseil en sécurité des systèmes d'information
  

Ce ne sont pas les seuls, il y en a de plus en plus et un peu partout

Spécificités des certifications

Les principales certifications délivrées sont :

• ISO 27001 (système de management de la sécurité de l'information)
  
• PASSI (qualification ANSSI)
  
• NF Service (pour les entreprises de sécurité)
  

Après, sur Toulouse et dans ce domaine... AlgoSecure donc, Syancktiv (4 Rue du Pont Guilhemery), Itrust (Labège), Formind (55 avenue Louis Breguet)...

Pour un stage, ça donnerait potentiellement des tests d'intrusion externes et internes, des audits de code et d'architecture, des audits de conformité RGPD, des accompagnements à la certification... je dis ça, je dis rien...