Que doivent faire les clients de M&S après que des criminels ont volé des données personnelles lors d'une attaque de grande envergure ?

Les données personnelles des clients de M&S ont été volées par des pirates informatiques lors d'une cyberattaque de grande ampleur qui pourrait coûter des millions à l'entreprise.

Alors, que devraient faire ces clients maintenant ?

Le géant de la vente au détail a admis mardi que certaines données avaient été volées, mais a rassuré ses clients en affirmant qu'aucune « donnée de paiement ou de carte utilisable » n'avait été volée.

Lire la suite : M&S affirme que les données personnelles de ses clients ont été volées par des pirates informatiques

Les mots de passe n'étaient pas non plus inclus dans les données volées, mais il semblerait que des coordonnées telles que des noms, des adresses et des numéros de téléphone aient été volées.

Il n'y a aucune preuve que les données aient été partagées, a confirmé M&S à Sky News mercredi.

Bien que M&S affirme que les clients « n'ont pas besoin de prendre d'autres mesures » que de changer leur mot de passe lors de leur prochaine connexion, les experts en cybersécurité sont inquiets.

Voici ce qu’ils veulent que vous fassiez si vous avez un compte M&S.

Attention aux escroqueries par hameçonnage

« Nous constatons souvent une augmentation des e-mails de phishing, des faux SMS de livraison et des appels frauduleux après des violations comme celle-ci, en particulier lorsque l'historique des commandes ou les noms d'utilisateur sont impliqués », a déclaré Charlotte Wilson, responsable de l'entreprise chez Check Point, une société de cybersécurité.

« Il ne s’agit pas de panique, mais de rappeler que la cybersécurité ne se limite pas à la technologie », a-t-elle déclaré.

Ces escroqueries peuvent paraître plus convaincantes car les pirates peuvent inclure des informations personnelles telles que votre nom, votre adresse ou votre numéro de téléphone, volées lors d'attaques comme celle contre M&S.

« Certains criminels peuvent se faire passer pour une organisation bien connue et convaincre les victimes de leur crédibilité en fournissant leur nom, leur adresse et leur date de naissance, avant d'utiliser cette fausse crédibilité pour escroquer la victime de son argent », a déclaré Sam Kirkman de NetSPI.

En fait, le groupe criminel qui serait à l’origine de l’attaque contre M&S est connu pour utiliser des tactiques de ce type pour arnaquer les gens.

Plutôt que d'utiliser des logiciels pour pirater les pare-feu des entreprises, les pirates de Scattered Spider ciblent les vulnérabilités humaines et incitent les gens à leur donner accès.

Lire la suite sur Sky News : Les codes QR liés aux drogues en ligne Le Royaume-Uni pourrait-il obtenir des prisons « supermax » à l'américaine ?

« N'oubliez pas que nous ne vous contacterons jamais pour vous demander de nous fournir des informations de compte personnelles, comme des noms d'utilisateur, et nous ne vous demanderons jamais de nous donner votre mot de passe », a déclaré Jayne Wall, directrice des opérations de M&S, dans un message aux clients.

Arrêtez, défiez, protégez

M. Kirkman recommande de suivre les étapes « stop », « challenge » et « protect » de Take Five, une campagne nationale visant à protéger les personnes contre la cybercriminalité :

• Arrêtez-vous : Prenez un moment pour réfléchir avant de divulguer votre argent ou vos informations. Cela pourrait vous protéger.
• Défi : Demandez-vous s'il s'agit d'un faux. Vous pouvez rejeter, refuser ou ignorer toute demande. Seuls les criminels tenteront de vous agresser ou de vous faire paniquer.
• Protégez-vous : contactez immédiatement votre banque si vous pensez avoir été victime d'une arnaque et signalez-le à Action Fraud sur actionfraud.police.uk ou au 0330 123 2040.

Changer les mots de passe

M&S a déclaré qu'aucun mot de passe n'avait été volé lors de la violation de données, mais Clare Loveridge de la société de cybersécurité Arctic Wolf affirme toujours que c'est une « bonne idée » de changer ses mots de passe sur tous ses comptes en ligne.

« De même, prendre des mesures supplémentaires comme l’activation de l’authentification en deux étapes améliorera également la protection, si cela n’a pas déjà été fait », a-t-elle déclaré.

Cela est dû au fait que les attaquants peuvent tester des mots de passe réutilisés ou des identifiants de connexion volés lors de violations de données précédentes.

« Les données personnelles volées peuvent toujours être utilisées comme pièces d'un puzzle par des fraudeurs », a déclaré Tim Grieveson, de ThingsRecon.