Save‑On‑Foods a déclaré avoir détecté une activité non autorisée sur l’un de ses serveurs le 13 octobre, une intrusion qui a exposé des données personnelles liées à son programme de fidélité More Rewards. Les informations compromises comprennent les noms des membres ainsi que les adresses, numéros de téléphone, adresses courriel et dates de naissance qu’ils avaient fournies. L’entreprise indique que l’incident a été « rapidement contenu » et qu’une enquête a été menée avec l’aide d’un expert en cybersécurité. Selon les éléments disponibles, des informations plus sensibles, comme les mots de passe ou les coordonnées de carte de paiement, n’auraient pas été consultées.
Save‑On‑Foods et les risques pour les membres More Rewards
Save‑On‑Foods exige l’adhésion à More Rewards pour les achats en ligne, de sorte que le même programme utilisé pour les remises en magasin centralise les données personnelles associées à ces services. Pattison Food Group indique que More Rewards compte plus de 3,5 millions de membres, ce qui signifie qu’une faille touchant ce programme, même sans accès aux mots de passe ou aux données de paiement, peut permettre à des criminels de monter des campagnes d’hameçonnage convaincantes.
Richard Frank, directeur du centre international de cybercriminalité de l’Université Simon Fraser, a expliqué que « les programmes de fidélité fournissent généralement suffisamment de détails pour rendre les arnaques crédibles ». Il a ajouté que « la plupart de ces intrusions sont opportunistes » : les attaquants parviennent souvent à pénétrer les réseaux après qu’un employé a cliqué sur un lien malveillant ou téléchargé un logiciel, puis peuvent « cartographier le réseau » et identifier les éléments à voler pour les monétiser.
Chronologie, communications et conseils
Save‑On‑Foods a informé les membres de More Rewards de rester vigilants face aux appels ou messages suspects. L’entreprise a précisé qu’elle n’enverrait pas de messages demandant des mots de passe, des coordonnées bancaires, des informations de paiement, des numéros d’assurance sociale ni les réponses aux questions de sécurité. Elle affirme également avoir alerté les autorités compétentes et les autorités de protection des données.
Une demande de confirmation adressée au Commissaire à l’information et à la protection de la vie privée de la Colombie‑Britannique est restée sans réponse avant la publication.
