Bureau Vallée reconnaît que des pirates ont emporté des tickets de caisse de ses clients

Le 9 août, un pirate qui signe « ZeroBytes » publie sur un forum un fichier baptisé clients.jsonl. Il l'attribue à Bureau Vallée, le réseau de magasins de fournitures de bureau, et affirme avoir extrait 55 949 fiches de clients par une interface de programmation de l'enseigne, soit 21 921 personnes distinctes, selon le site Cyberattaque.org. Douze jours plus tard, un second pirate, « misere », surenchérit : 13,7 millions de lignes, ramenées à 4,82 millions d'entrées une fois les doublons retirés.

Le 18 août, le directeur général, Adrien Peyroles, évoquait environ 22 000 clients touchés, rapporte Cyberattaque.org. Près de trois mois après les revendications, l'enseigne va plus loin. Dans un e-mail à ses clients, dont Cyberattaque.org et le site Presse83 ont publié le contenu le 5 novembre, Bureau Vallée reconnaît deux incidents de sécurité distincts. Tous deux ont eu lieu chez le prestataire qui fournit ses logiciels de caisse et de gestion. L'entreprise ne le nomme pas et ne donne aucune date.

Des tickets de caisse et des bons de fidélité

Le premier incident porte, selon l'enseigne, sur un volume limité de fiches clients extraites d'un logiciel de gestion : nom, prénom, adresse postale, adresse e-mail, et numéro de téléphone.

Le second est bien plus vaste. Une personne non autorisée a accédé aux bases de données et aux fichiers hébergés chez le prestataire. Elle en a extrait des fichiers liés aux ventes : tickets de caisse, bons de fidélité et données clients. De quoi révéler ce que chacun a acheté et comment il utilise le programme de fidélité.

Bureau Vallée assure que son site de vente en ligne n'est pas concerné : ni les comptes, ni les mots de passe, ni l'historique des commandes. Les données de carte bancaire, conservées par les prestataires de paiement, sont elles aussi épargnées, selon l'entreprise.

Combien de clients sont concernés ?

La question reste ouverte. Bureau Vallée ne confirme ni les volumes revendiqués ni le lien entre ses deux incidents et les deux pirates. Le chiffre de 4,82 millions appelle la prudence : une ligne sans doublon ne correspond pas forcément à une personne. Les articles publiés ne mentionnent ni plainte ni notification à la CNIL, le gendarme des données personnelles.

Comme lors de la fuite passée par le logiciel de réservation hôtelière Misterbooking, la faille ne se trouvait pas chez la marque connue du public, mais chez un sous-traitant.

Les bons réflexes

Ici, selon l'enseigne, ni mot de passe ni carte bancaire dans la nature. Le danger vient d'ailleurs : un escroc qui connaît votre magasin et vos derniers achats peut écrire un message très convaincant.

• Méfiez-vous des e-mails, SMS ou appels au nom de Bureau Vallée qui parlent de remboursement, de points de fidélité ou de facture, même s'ils citent un achat réel.
• Ne cliquez pas sur les liens reçus : tapez vous-même l'adresse du site ou adressez-vous à votre magasin.
• Entreprises clientes : vérifiez par un autre canal toute facture inattendue ou toute demande de changement de coordonnées bancaires.
• Ne donnez jamais un code reçu par SMS ni vos coordonnées bancaires à un interlocuteur qui vous contacte.

Reste à savoir qui est ce prestataire, et s'il travaille aussi pour d'autres enseignes. Bureau Vallée ne l'a pas dit.