Un intrus a pu voir le nom et l'e-mail de clients du vendeur de coffrets cadeaux Smartbox

L'e-mail porte un titre sobre : « Information importante ». Smartbox, le spécialiste des coffrets cadeaux, y annonce à ses clients avoir détecté le 3 novembre un accès non autorisé à l'une de ses plateformes informatiques. Le 7 novembre, Clubic, FrenchBreaches et Cyberattaque.org ont rapporté le contenu de ce message.

Selon l'entreprise, dont l'enquête se poursuit, les noms, prénoms et adresses e-mail associés aux comptes clients pourraient avoir été consultés. Smartbox affirme en revanche que l'attaquant « n'a pas eu accès aux coordonnées bancaires ni aux mots de passe des comptes », selon la formule citée par Clubic. Elle dit avoir bloqué l'accès de l'intrus et lancé une révision de la sécurité de ses systèmes.

Ce que Smartbox ne dit pas encore

Le message laisse beaucoup de questions ouvertes. L'entreprise ne précise ni le nombre de clients concernés, ni la plateforme visée, ni la manière dont l'intrus est entré, ni combien de temps il est resté. Elle ne dit pas non plus si des données ont été copiées, et pas seulement consultées. Aucun groupe de pirates n'a revendiqué l'attaque, selon Clubic, qui s'appuie sur FrenchBreaches.

Le périmètre géographique reste flou. Smartbox vend ses coffrets en France, en Belgique, en Suisse et dans d'autres pays européens, rappelle Clubic. Le groupe commercialise aussi les marques Dakotabox, Cadeaubox et Bongo, sans qu'on sache si leurs clients sont touchés. Selon Clubic et FrenchBreaches, Smartbox annonce par ailleurs un nouveau code PIN pour ses chèques cadeaux, sans en préciser le fonctionnement.

La société, de droit irlandais, dit avoir prévenu la police et la Commission irlandaise de protection des données, qui pilote le dossier pour l'Union européenne. Les clients français peuvent aussi adresser une plainte à la CNIL.

Un épisode antérieur intrigue. En juin, Cyberattaque.org signalait la diffusion, dans un espace fréquenté par des cybercriminels, de données attribuées au groupe : plus de 60 500 comptes d'utilisateurs et 202 000 enregistrements de contrats, surtout liés à des partenaires commerciaux. Smartbox ne l'a jamais confirmé, et aucun lien n'est établi avec l'incident de novembre.

Pourquoi un nom et une adresse e-mail suffisent aux escrocs

Sans mot de passe ni carte bancaire, la fuite peut sembler bénigne. Mais un nom, une adresse e-mail et la certitude que la personne est cliente de Smartbox suffisent pour écrire un message d'hameçonnage crédible : coffret à réactiver, bon sur le point d'expirer, réservation à confirmer. En pleine saison des cadeaux, ce type de message a toutes les chances de passer inaperçu au milieu des vrais.

Les bons réflexes

• Smartbox rappelle qu'elle ne vous demandera « jamais » votre mot de passe ni vos coordonnées bancaires par e-mail : tout message qui le fait est une arnaque.
• Méfiez-vous des e-mails, SMS ou appels inattendus qui parlent d'un coffret, d'une réservation ou d'un code, même s'ils vous appellent par votre nom.
• Pour vérifier un coffret ou une réservation, tapez vous-même l'adresse du site plutôt que de cliquer sur un lien.
• Si vous avez offert des coffrets, prévenez les personnes qui les ont reçus.
• En cas de message suspect, le site cybermalveillance.gouv.fr détaille les démarches à suivre.

Reste à savoir combien de clients sont concernés, et dans quels pays. La réponse viendra d'une prochaine communication de Smartbox, ou des suites données par l'autorité irlandaise.