La boutique n'a pas été piratée. L'entreprise qui a expédié votre colis, elle, l'a été.
Pokemon Center a commencé à écrire à ses clients au Royaume-Uni et en Allemagne lundi pour leur dire que leurs données avaient été prises, et a purement et simplement annulé certaines commandes. Personne ne s'est introduit chez Pokemon Center. La fuite a eu lieu chez CEVA Logistics, le prestataire de transport sous contrat gérant ses livraisons européennes, et l'intrusion remonte à trois semaines, entre le 29 juillet et le 1er août.
CEVA est un géant : filiale du groupe maritime CMA CGM, avec plus de mille entrepôts dans le monde. Huit de ses sites européens ont été perturbés. Les avis aux clients arrivent au compte-gouttes depuis, un détaillant après l'autre. Valve a écrit aux acheteurs de matériel Steam plus tôt ce mois-ci ; TechCrunch a recensé le détaillant néerlandais Bol, le grand magasin de Bijenkorf, la banque ING, le club de football de l'Ajax et la marque de lunettes Ace & Tate parmi ceux touchés, avec dix organisations ayant déposé des signalements de fuite auprès des régulateurs néerlandais.
Aucun numéro de carte n'a été pris, CEVA n'en a jamais détenu. Ce qu'elle avait, en revanche, c'est tout ce qui figure sur l'étiquette d'expédition : votre nom complet, votre adresse de livraison, votre numéro de téléphone, votre e-mail, et ce qui se trouvait réellement dans le colis. Valve a précisé que CEVA conserve les informations d'expédition et de livraison pendant 90 jours après une commande.
Réfléchissez à ce que quelqu'un peut écrire avec cela. Pas "nous n'avons pas pu livrer votre colis, payez 1,99". Quelque chose qui nomme l'article que vous avez commandé, cite correctement votre adresse, et arrive pendant que vous attendez réellement une livraison. C'est un tout autre niveau d'appât. Pendant le mois ou les deux mois à venir, traitez tout message de livraison comme une invite plutôt qu'un lien : rendez-vous sur le site ou l'application du détaillant lui-même et vérifiez-y votre commande.
Le contrôle Confidentialité et comptes de Tendvane montre lesquelles de vos adresses e-mail ont déjà fait surface dans des fuites connues, un bon moyen d'évaluer la part de vous déjà en circulation avant l'arrivée du message convaincant.