La chaîne d’épicerie Save-On-Foods a informé des adhérents de son programme de fidélité More Rewards que des renseignements personnels ont été consultés lors d’une intrusion informatique découverte le 13 octobre, une activité non autorisée ayant été « rapidement contenue » avant l’ouverture d’une enquête avec un expert en cybersécurité. Un courriel a ensuite été envoyé aux clients vendredi.
Save-On-Foods confirme l’accès à des données More Rewards
Le message adressé aux membres précisait : « We are writing to let you know about an incident involving your personal information. » Selon ce courriel, les informations consultées comprenaient les noms et, si fournis, les adresses, numéros de téléphone, adresses courriel et dates de naissance. « Based on the information available, » aucun autre renseignement personnel tel que des données de carte de crédit ou des mots de passe n’aurait été consulté.
Des demandes de précision sur le nombre de clients affectés sont restées sans réponse avant la date limite. Le groupe Pattison Food Group, propriétaire de l’enseigne, indique sur son site que le programme More Rewards compte plus de 3,5 millions de membres. Save-On-Foods exige que les acheteurs en ligne soient inscrits au programme, qui offre également des rabais exclusifs en magasin.
Risque de hameçonnage et analyse d’experts
Le centre canadien pour la cybersécurité rappelle que des renseignements personnels peuvent servir à rendre des attaques de hameçonnage plus crédibles, les cybercriminels se faisant passer pour des organisations de confiance afin d’inciter les victimes à divulguer des informations sensibles ou à envoyer de l’argent. « Most of these break-ins are opportunistic, » a écrit Richard Frank, directeur du centre international sur la cybercriminalité de l’université Simon Fraser, en précisant que les criminels obtiennent souvent un accès aux réseaux en raison d’employés qui cliquent accidentellement sur des liens malveillants ou téléchargent des logiciels malveillants. Ensuite, ils peuvent « map the network, » repérer ce qu’ils peuvent voler pour en tirer profit, et les programmes de fidélité « usually provide enough details to make realistic scams. »
Frank a expliqué que ces données personnelles servent souvent à usurper l’identité d’entreprises dans des courriels demandant davantage d’informations ou contenant des liens malveillants, permettant potentiellement le vol d’identité, l’accès à des comptes bancaires ou des informations de carte de crédit. Il ajoute que ces renseignements peuvent ensuite être utilisés pour effectuer des achats frauduleux via des boutiques en ligne ou des cryptomarchés.
Réactions des clients et recommandations
Des commentaires postés sur des communautés Reddit de la Colombie-Britannique et de l’Alberta expriment la frustration de clients envers les systèmes de réduction qui exigent des données personnelles, certains estimant que ces informations peuvent être commercialisées et rendent les utilisateurs plus vulnérables. Plusieurs publications signalent que des membres ayant reçu la notification et tenté de réinitialiser leur mot de passe ont rencontré une erreur récurrente.
Save-On-Foods demande aux membres d’être vigilants face aux appels ou messages suspects et précise qu’elle n’enverra aucune communication demandant des mots de passe, des informations bancaires, des renseignements de paiement, un numéro d’assurance sociale ou les réponses aux questions de sécurité.
Un contact a été tenté auprès du Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique pour savoir s’il avait été informé de l’incident, sans réponse avant la publication. Save-On-Foods indique par ailleurs avoir avisé les autorités et les régulateurs en matière de protection de la vie privée.
