Sur le site de collectionneurs Delcampe, un intrus a emporté adresses postales et achats de membres

C'est par un courriel que des membres de Delcampe ont appris la nouvelle : dans la nuit du 5 au 6 novembre, un tiers non autorisé a téléchargé des fichiers contenant certaines de leurs données personnelles. Le site, édité par la société belge Delcampe International, est une place de marché bien connue des collectionneurs de timbres, de cartes postales et de pièces de monnaie. Il revendique plus d'un million d'utilisateurs actifs dans plus de 190 pays.

Delcampe dit avoir bloqué l'accès en cause, sécurisé les fichiers et engagé des mesures supplémentaires. L'incident ne touche pas tous les utilisateurs, précise l'entreprise, qui n'a pas dit combien de comptes sont concernés. Elle affirme n'avoir constaté aucune compromission de compte. Ces éléments proviennent du message envoyé aux membres, rapporté par les sites spécialisés Fuites Infos et Cyberattaque.org.

Ce que contenaient les fichiers

• l'identifiant et le pseudonyme du compte ;
• le prénom et le nom ;
• la langue du compte ;
• l'adresse postale de livraison ;
• pour une partie des membres, le détail de certains achats : objets, dates et prix.

Selon Delcampe, les mots de passe, les numéros de téléphone, les données de paiement et les coordonnées bancaires ne sont pas concernés. Les vraies adresses e-mail non plus, car la messagerie de la plateforme utilise des adresses intermédiaires.

Pourquoi ces données intéressent les escrocs

Un nom, une adresse, un objet acheté et son prix : avec ces informations, un escroc pourrait écrire un faux message très crédible au sujet d'une commande, souligne Cyberattaque.org. Delcampe met d'ailleurs en garde ses membres contre les messages frauduleux qui évoquent leurs achats ou leurs livraisons. Pour un collectionneur, l'adresse postale associée à un objet parfois précieux est aussi une information sensible en soi.

Beaucoup de questions restent ouvertes. Delcampe n'a pas dit comment l'intrus est entré, ni qui il est. On ignore si les fichiers circulent ou sont mis en vente. Le courriel ne mentionne pas non plus de notification à une autorité de protection des données. Le RGPD impose pourtant, en principe, de signaler une violation de données dans les 72 heures, sauf si elle ne présente probablement pas de risque pour les personnes. Pour une société belge, c'est l'Autorité de protection des données de Belgique qui est compétente.

Les bons réflexes si vous êtes membre

Delcampe estime qu'aucune démarche particulière n'est nécessaire. Quelques précautions ne coûtent pourtant rien :

• se méfier de tout e-mail ou SMS qui cite une commande, une livraison ou un vendeur, même si les détails sont exacts ;
• ne jamais payer ni se connecter depuis un lien reçu : passer directement par le site ou l'application ;
• activer la double authentification si elle est proposée, et changer son mot de passe Delcampe, puis celui de tout autre service où il était réutilisé, comme le conseille Fuites Infos ;
• signaler les tentatives d'escroquerie. En France, le service public cybermalveillance.gouv.fr apporte aide et conseils.

La suite dépendra de Delcampe. Le nombre de membres touchés et l'origine de l'intrusion diront si l'incident est aussi limité que l'entreprise le laisse entendre.