LDLC, qui vend du matériel informatique, confirme un nouveau piratage avec fuite de données des clients après l’accès non autorisé d’un acteur malveillant à l’un de ses systèmes d’information. Les informations personnelles de clients ont pu être consultées, tandis que les données bancaires, les identifiants et les mots de passe n’ont pas été concernés.
Les données des clients ont (encore) fuité
Le groupe LDLC a commencé à prévenir les clients concernés par e-mail. Le message indique qu’un « acte malveillant a permis un accès non autorisé à l’un de nos systèmes d’information », avec une consultation de certaines données. L’entreprise ne précise pas la date de l’intrusion, la méthode utilisée ou le nombre de personnes touchées.
Les informations accessibles forment un ensemble suffisamment détaillé pour faciliter l’identification d’un client. Elles comprennent notamment :
- nom
- prénom
- adresse postale
- adresse e-mail
- numéro de téléphone portable
- numéro de téléphone fixe
- numéro de fax (si renseigné)
- langue du client
- civilité
- codes clients techniques
- type de client (particulier ou professionnel)
- date de dernière connexion au compte client web
- date d’inscription sur le site
LDLC affirme en revanche que les données bancaires, notamment les RIB et numéros de carte bancaire, sont restées hors de portée. Les identifiants de connexion et les mots de passe n’ont également pas été exposés selon l’entreprise. Le groupe indique avoir isolé le système concerné, revu sa stratégie d’accès et signalé l’incident à la CNIL.
Le quatrième piratage de LDLC depuis 2021
Cette nouvelle affaire constitue le quatrième piratage chez LDLC depuis 2021. En décembre 2021, le groupe avait annoncé un accès non autorisé à ses données après une attaque revendiquée par le groupe Ragnar Locker. En 2024, LDLC avait subi deux nouvelles fuites : la première, annoncée fin février, concernait les données de 1,5 million de clients, tandis qu’une seconde fuite avait été révélée en décembre sans que l’entreprise communique le nombre de personnes concernées.
Le nouvel incident présente surtout un risque de phishing ciblé. Avec un nom, une adresse, un numéro de téléphone et des informations précises sur un compte client, un escroc peut construire un faux e-mail, SMS ou appel beaucoup plus crédible en se faisant passer pour LDLC, un transporteur ou un service après-vente. LDLC recommande donc de ne pas cliquer sur les liens reçus par message et de ne jamais transmettre de mot de passe ou de coordonnées bancaires par e-mail, SMS ou téléphone.
L’étendue de la fuite reste inconnue à ce stade : LDLC n’a communiqué ni le nombre de clients concernés ni le volume de données potentiellement consultées. L’entreprise précise seulement avoir pris des mesures pour isoler la solution touchée et avoir notifié la CNIL.
