Dymocks Booksellers avertit ses clients que leurs informations personnelles ont été exposées lors d’une violation de données après que la base de données de l’entreprise a été partagée sur des forums de piratage.
Dymocks est une chaîne de librairies exploitant 65 magasins en Australie, en Nouvelle-Zélande et à Hong Kong, ainsi qu’une boutique en ligne qui vend des livres imprimés, des livres électroniques, des fournitures de papeterie, des jeux et des médias numériques.
L’entreprise a été informée que les données de ses clients avaient été volées le 6 septembre 2023 par Troy Hunt, le créateur du service de notification de violation de données « Have I Been Pwned » (HIBP), après qu’un acteur malveillant les ait publiées sur un forum de piratage.
Dans un avis publié sur le site Web de Dymocks, le libraire explique qu’il ne voit aucune preuve de pénétration sur ses systèmes informatiques et qu’il enquête actuellement sur une potentielle faille de sécurité chez des partenaires tiers.
Ainsi, la manière dont les données ont été obtenues, la durée de l’accès non autorisé, l’étendue de l’activité malveillante et l’étendue exacte de l’impact de cet incident restent floues.
L’enquête menée par Dymocks et des experts sous contrat a jusqu’à présent confirmé que les types d’informations client suivants ont été compromis :
- Nom et prénom
- Date de naissance
- Adresse e-mail
- adresse postale
- Genre
- Détails de l’adhésion (date d’expiration de l’or, statut du compte, date de création du compte, classement de la carte)
Dymocks a précisé qu’elle ne stocke pas les informations financières des clients et qu’aucun détail de ce type n’a donc été divulgué.
Have I Been Pwned a confirmé que les données divulguées en ligne comprennent 1,2 million d’enregistrements d’utilisateurs pour 836 120 comptes Dymocks uniques.
Toutes les autorités compétentes ont été informées de l’incident et Dymocks s’efforce actuellement de terminer son enquête et de mettre en œuvre des mesures de sécurité supplémentaires pour éviter que de tels incidents ne se reproduisent à l’avenir.
De plus, Dymocks assure à ses clients qu’il est toujours sûr d’effectuer des achats sur sa boutique en ligne. Cependant, il recommande aux utilisateurs de modifier le mot de passe de leur compte.
Des données déjà largement diffusées
Troy Hunt rapporte que les données des clients Dymocks circulent sur divers canaux Telegram et forums de piratage depuis au moins juin 2023.
Cela dit, les cybercriminels ont eu de nombreuses opportunités d’exploiter l’ensemble de données divulguées dans le cadre d’attaques de phishing et d’escroquerie ciblant les clients de la librairie.
Breachtrace a trouvé un message sur l’un des derniers redémarrages du forum de piratage BreachForums publié le 3 septembre 2023, offrant l’accès à la base de données volée aux autres membres du forum pour quelques dollars.
Ce que les clients Dymocks devraient faire
Bien qu’il ne semble pas que des mots de passe aient été exposés lors de la violation de données Dymocks, il est fortement conseillé aux utilisateurs de modifier leurs mots de passe sur le site pour plus de sécurité.
De plus, si le même mot de passe a été utilisé sur d’autres sites, il doit également y être modifié.
Lorsque vous modifiez vos mots de passe, utilisez un mot de passe unique et fort sur chaque site afin qu’une violation de données n’affecte pas votre compte dans d’autres entreprises.
Un gestionnaire de mots de passe peut faciliter grandement l’utilisation de mots de passe uniques sur chaque site et est fortement recommandé.
Enfin, comme ces données ont été essentiellement divulguées gratuitement, les clients de Dymocks doivent être à l’affût des e-mails demandant une carte de crédit ou des informations de connexion, car il pourrait s’agir d’escroqueries par phishing ciblées résultant de cette violation de données.