Une faille de cybersécurité chez Save-On-Foods a exposé des renseignements personnels liés à son programme de fidélité More Rewards, a annoncé l’enseigne. Les informations compromises comprennent les noms des membres ainsi que les adresses, numéros de téléphone, adresses courriel et dates de naissance fournis par ces derniers.
Save-On-Foods et les informations touchées
Save-On-Foods a déclaré avoir détecté une activité non autorisée sur l’un de ses serveurs le 13 octobre, avoir « rapidement contenu » l’incident puis mené une enquête avec l’aide d’un expert en cybersécurité. La société a indiqué que, d’après les éléments disponibles, des données plus sensibles, notamment des mots de passe ou des coordonnées de carte de paiement, n’avaient pas été consultées.
Le programme More Rewards, requis pour effectuer des achats en ligne, collecte les mêmes informations personnelles utilisées pour obtenir des réductions en magasin. Selon The Pattison Food Group, More Rewards compte plus de 3,5 millions de membres. On a demandé à Save-On-Foods le nombre de clients touchés, mais la société n’avait pas fourni de chiffre au moment de la publication.
Risques, analyse et recommandations
Richard Frank, directeur du centre international de cybercriminalité de l’université Simon Fraser, a déclaré que les enregistrements des programmes de fidélité restent précieux pour les escrocs car ces programmes « fournissent généralement suffisamment de détails pour permettre des arnaques crédibles ». Il a ajouté que « la plupart de ces intrusions sont opportunistes » et que, une fois à l’intérieur des réseaux d’entreprise, les criminels peuvent « cartographier le réseau » pour identifier ce qu’ils peuvent voler et monétiser.
Save-On-Foods a demandé à ses clients More Rewards de rester vigilants face aux appels ou messages suspects. L’entreprise a précisé qu’elle n’enverra pas de messages sollicitant des mots de passe, des renseignements bancaires, des informations de paiement, des numéros d’assurance sociale ou des réponses aux questions de sécurité. Elle a également indiqué avoir informé les autorités compétentes et les régulateurs de la vie privée. La demande de confirmation auprès de l’Office of the Information and Privacy Commissioner for B.C. est restée sans réponse avant la publication.
