Piratage La Poste Mobile : les données clients sur le Net

Ce que l'on craignait le plus est arrivé ! Suite à l'énorme cyberattaque dont a été victime La Poste Mobile en juillet, les données personnelles de plus de 500 000 clients sont désormais en libre circulation sur Internet...

Les pires craintes concernant l'attaque en juillet de La Poste Mobile se sont réalisées. Le service avait été victime d'une cyberattaque par le groupe de hackers Lockbit, qui a contraint le groupe à fermer leur site web pendant 10 jours. Les pirates ont ensuite exigé une rançon, que le groupe français a refusé de payer. En représailles, un fichier contenant les données dérobées a été publié. En effet, les spécialistes en cybersécurité de Zataz ont repéré quatre espaces pirates qui diffusent les données volées – données qui ont été classées et triées. Le fichier de 64 Mo compressé comporte pas moins de 533 000 données clients, dont les noms et prénoms, numéros de comptes bancaires (IBAN), dates de naissance, adresses électroniques, sexe, identités, numéros de téléphone ou encore les adresses physiques. La Poste Mobile insiste sur un point : aucun numéro de carte bancaire ou pièce d'identité n'ont été divulgués. Le nombre de clients concernés par ce vol de données est encore inconnu.

La Poste Mobile : un site paralysé pendant 10 jours

Le vendredi 8 juillet, les clients de La Poste Mobile ne pouvaient plus accéder aux services en ligne de l'opérateur. "Les services administratifs et de gestion de La Poste mobile ont été victimes, ce lundi 4 juillet, d'un virus malveillant de type rançongiciel", expliquait l'entreprise dans son communiqué, avant d'avouer qu'il était "possible que des fichiers présents dans des ordinateurs de salariés de La Poste Mobile aient été affectés. Certains d'entre eux pourraient contenir des données à caractère personnel", comme les noms, prénoms, villes, numéros de téléphone, adresses e-mail et identifiants. D'ailleurs, l'expert en cybersécurité Dominic Alvieri avait affirmé sur son compte Twitter avoir repéré l'annonce de la publication de données personnelles liées au piratage, captures d'écran à l'appui. Le vol concernerait plus de 1,5 million de clients de l'opérateur – sur un total d'environ 1,8 million.

Rappelons qu'un rançongiciel est un logiciel malveillant qui bloque l'accès à des ordinateurs ou à des fichiers en les chiffrant – en les cryptant pour les rendre illisibles. Les pirates à l'origine de ce genre d'attaque exigent ensuite une rançon pour redonner le contrôle à leurs victimes – le plus souvent, des entreprises, des administrations, des organisations et des institutions. Dans le cas de La Poste Mobile, l'attaque a été revendiquée dans la nuit du jeudi 7  à vendredi 8 juillet par Lockbit, un groupe de hackers spécialisé dans le rançongiciel et l'intrusion informatique. Leur mode opératoire est toujours le même : les pirates commencent par perturber les opérations de leur cible – ici, le site web a été paralysé pendant 10 jours – afin de voler des données. Ensuite, ils essayent de faire chanter leur victime : à moins de percevoir une rançon, ils publieront les données sensibles sur Internet. Une extorsion qu'a visiblement refusée La Poste Mobile... L'attaque est survenue dans un contexte particulièrement sensible, du fait de la guerre entre la Russie et l'Ukraine. En effet, ces pirates évitent systématiquement que leurs virus s'en prennent à des ordinateurs se trouvant en Russie ou dans des pays russophones, ce qui pourrait traduire un lien entre les deux.

Un appel à la plus grande prudence

Suite à la cyberattaque, La Poste Mobile révélait avoir suspendu "immédiatement les systèmes informatiques concernés" dès qu'elle a découvert l'attaque. "Cette action de protection nous a conduits à fermer momentanément notre site internet et notre espace client", expliquait La Poste. Cette mesure devait permettre d'empêcher les pirates de voler des données sensibles.

Il faut donc se montrer particulièrement vigilant car, les données personnelles ayant été publiées sur Internet, elles peuvent être utilisées pour des campagnes de phishing – qui consistent à envoyer de faux messages pour récupérer des données bancaires ou personnelles –, pour des attaques ciblées contre des personnes ayant des postes à responsabilité dans les entreprises, et même pour de l'usurpation d'identité. Prudence donc. Il est fortement recommandé de ne pas utiliser le même mot de passe sur plusieurs sites Internet ou services en ligne car, si les hackers parviennent à s'emparer du mot de passe d'un compte La Poste Mobile, ils peuvent facilement tenter leur chance et faire mouche sur les autres comptes de la victime – commandes via un compte Amazon, services de streaming, boites mail, etc. De même, il ne faut jamais communiquer ses informations d'accès ou bancaire via un e-mail, un courrier ou par téléphone. Et en cas du moindre doute, mieux vaut vérifier que le mot de passe n'a pas été compromis (voir notre fiche pratique).