Fuite de données Intermarché : ce que la cyberattaque révèle sur les fragilités du retail

Intermarché a été touché par une fuite de données, un an après les cyberattaques ayant visé Marks & Spencer, Co-op et Harrods au Royaume-Uni. Le service Drive de l’enseigne a vu les informations personnelles de 287 605 clients être exposées. Pour mieux comprendre ce qui rend ce secteur particulièrement exposé, et ce qu’un attaquant peut réellement faire d’un nom, d’une date de naissance ou d’un numéro de carte de fidélité, nous avons interrogé Matthieu Trivier, Associate VP of Pre-Sales chez Semperis. Il nous explique quels réflexes une enseigne peut adopter en amont pour limiter les dégâts, plutôt que de découvrir sa posture de défense une fois l’incident survenu.

Matthieu Trivier, Associate VP of Pre-Sales, Semperis

Matthieu Trivier est Associate VP of Pre-Sales chez Semperis. Fort de plus de 20 ans d’expérience dans les technologies d’identité et la résilience cyber, il accompagne les organisations dans la sécurisation de leurs environnements Active Directory et hybrides. Il intervient régulièrement sur les enjeux liés à la protection, la détection et la récupération après des attaques visant les identités numériques.

Après Marks & Spencer, Co-op et Harrods au Royaume-Uni l’an dernier, c’est l’enseigne Intermarché qui a été touchée en France. Qu’est-ce qui rend le retail structurellement aussi exposé, d’après vous ?

Le retail coche plusieurs cases à la fois. Il y a d’abord le volume : programmes de fidélité, historiques de commande, comptes en ligne, ce sont des bases clients considérables. Il y a ensuite la vitesse à laquelle la surface d’attaque s’est élargie avec l’e-commerce, le click & collect et les applications mobiles, sans que les équipes IT et sécurité suivent au même rythme, contrairement à la banque ou à l’assurance où la régulation impose un socle de maturité depuis longtemps. Et il y a la pression permanente sur la disponibilité : un service Drive qui tombe, c’est du chiffre d’affaires perdu immédiatement, donc la sécurité passe souvent après la continuité de service dans les arbitrages budgétaires.

Marks & Spencer, Co-op, Harrods l’an dernier, Intermarché aujourd’hui : ce n’est pas une coïncidence sectorielle, c’est un secteur qui a grandi plus vite côté digital que côté défense.

En quoi les données d’identité des clients valent-elles au moins autant, pour les attaquants, que les systèmes de paiement ? Concrètement, qu’est-ce qu’un nom, une date de naissance ou un numéro de fidélité permettent d’obtenir pour les hackers ?

Un nom, une date de naissance ou un numéro de fidélité ne permettent pas de vider un compte bancaire directement, c’est vrai. Mais ce sont des données d’identité, et l’identité, c’est la clé qui ouvre énormément de portes ailleurs. Une date de naissance et une adresse, c’est encore ce qu’on utilise comme éléments de vérification chez beaucoup d’opérateurs, de banques ou d’administrations pour confirmer qu’on parle bien à la bonne personne. Un numéro de fidélité, couplé à un historique de commande, donne à un attaquant de quoi se faire passer de façon crédible pour le service client de l’enseigne.

Une fois exposées, ces données ne s’annulent pas comme une carte bancaire qu’on peut bloquer en cinq minutes : elles restent exploitables des mois, voire des années après la fuite. Recoupées avec d’autres bases, elles peuvent construire un profil de plus en plus précis sur chaque personne.

Avec ce type de données, quels sont les différents scénarios de phishing à surveiller pour les consommateurs ? Assiste-t-on à une « nouvelle génération » de phishing hyper ciblé ?

Le scénario le plus probable, c’est le SMS ou l’email qui se fait passer pour Intermarché, avec un vrai prénom, une vraie commande et un vrai numéro de fidélité à l’appui, pour annoncer un problème de livraison ou des points de fidélité qui vont expirer. Le lien renvoie vers un faux site qui, lui, va chercher à récupérer les données bancaires que la fuite initiale n’avait pas touchées. On peut aussi voir des appels téléphoniques, le vishing, où l’interlocuteur a l’air de connaître le dossier client sur le bout des doigts.

La vraie rupture, c’est que le conseil classique, se méfier d’un message mal orthographié ou trop générique, ne fonctionne plus : ces messages sont personnalisés avec des données exactes, souvent rédigés à l’aide d’IA générative, donc sans les fautes qui trahissaient autrefois le phishing.

C’est ça, la nouvelle génération de phishing hyper ciblé : ce n’est plus aussi hasardeux que ça a pu l’être, et ça s’appuie maintenant sur des faits vérifiables.

Selon le site French Breaches, un cybercriminel affirme détenir bien plus de données que les 287 605 comptes clients reconnus par Intermarché, sans que cela ait été vérifié à ce stade. Qu’est-ce que cet écart dit de la difficulté à mesurer l’ampleur réelle d’une fuite au moment où elle est révélée ?

Cet écart est en réalité très classique dans ce type d’incident. Au moment de la divulgation, une entreprise communique un chiffre qu’elle peut prouver, c’est-à-dire des comptes pour lesquels l’investigation interne a confirmé l’accès ou l’exfiltration. L’attaquant, lui, n’a aucune obligation de rigueur : il peut inclure des doublons, des données anciennes, des lignes issues d’autres sources, ou simplement gonfler le chiffre pour renforcer sa crédibilité et sa pression sur la victime.

Dans les deux cas, le vrai périmètre ne peut être établi qu’avec une analyse forensique complète de l’infrastructure d’identité et des journaux d’accès. C’est un travail qui prend des semaines !

La leçon à en tirer, c’est que le chiffre annoncé au jour J est presque toujours une estimation basse, et pas forcément un résultat définitif.

Vous travaillez chez Semperis, spécialisé dans la cybersécurité des identités en entreprise. Pour un incident comme celui d’Intermarché, où c’est une base de données clients qui a été visée, en quoi ce type d’infrastructure est-il concerné ?

Semperis est spécialisé dans la sécurité des systèmes d’identité en entreprise, Active Directory et Entra ID en tête, qui sont utilisés par plus de 90 % des organisations dans le monde. Pour un incident comme celui d’Intermarché, décrit comme le ciblage d’une base de données clients, la vraie question à se poser est en amont : comment l’attaquant a-t-il atteint cette base ?

Dans l’immense majorité des cas, la base elle-même n’a pas été piratée au sens propre. C’est un compte, souvent un compte à privilèges ou un compte de service, qui a été compromis dans le système d’identité, et qui a permis à l’attaquant de se déplacer latéralement jusqu’aux applications et aux bases de données internes.

C’est exactement ce que nous protégeons : la couche qui décide qui, ou quoi, a le droit d’accéder à quoi, et qui reste trop souvent le maillon le moins surveillé de la chaîne.

Face à la multiplication de ces incidents, quelle est la première chose qu’une enseigne devrait faire pour limiter les dégâts en cas de fuite, d’après vous ?

La première chose, c’est de ne plus se demander « si » on va être attaqué, mais « quand », et s’organiser en conséquence. C’est ce qu’on appelle une posture d’ « assumed breach ».

Concrètement, ça veut dire identifier en amont les systèmes et bases de données dont la compromission ferait le plus de dégâts, et les surveiller en continu plutôt que de les découvrir après coup.

Ça veut dire aussi avoir un plan de réponse à incident déjà écrit et déjà testé, pour ne pas improviser sous pression le jour J, avec des sauvegardes isolées du système de production pour pouvoir redémarrer vite sans dépendre d’une rançon.

Et ça veut dire prévenir les clients rapidement et clairement, comme Intermarché l’a fait en notifiant la CNIL et en alertant ses clients dès la détection, parce qu’un client informé et vigilant limite lui-même l’impact des campagnes de phishing qui suivent.

Le retail vous semble-t-il en retard sur ces sujets par rapport à d’autres secteurs que vous accompagnez, comme la finance ou l’industrie, ou ces incidents sont-ils simplement plus visibles du grand public ?

Un peu des deux, honnêtement. La finance et, dans une moindre mesure, l’industrie ont une longueur d’avance parce que la régulation les y a obligées depuis des années, DORA pour la finance notamment, avec des budgets et des équipes dédiées à la hauteur du risque.

Le retail a connu une transformation digitale très rapide avec l’e-commerce, le drive, les applications et les programmes de fidélité, sans toujours faire suivre les moyens de sécurité au même rythme.

Donc oui, il y a un vrai rattrapage à faire, en particulier sur la sécurité des identités, qui reste le point d’entrée le plus commun. Mais ces incidents sont aussi plus visibles mécaniquement : une fuite chez un retailer touche directement des millions de particuliers, qui reçoivent des emails, qui en discutent, alors qu’une fuite dans les systèmes internes d’une banque ou d’un industriel reste souvent contenue à un public professionnel.

Les deux sont vrais en même temps : il reste un vrai chantier de sécurité à mener, et ce chantier se voit davantage ici qu’ailleurs, parce qu’il touche directement le grand public.