Près de 300 000 clients du service Drive d’Intermarché ont vu une partie de leurs données personnelles exposée à la suite d’une cyberattaque. Noms, prénoms, dates de naissance, adresses, numéros de téléphone, numéros de carte de fidélité et informations relatives à certaines commandes : ce ne sont pas de simples données techniques qui ont été compromises, mais des éléments concrets de la vie privée des consommateurs.

Intermarché assure qu’aucune donnée bancaire, aucun mot de passe et aucune information concernant les cagnottes de fidélité n’ont été affectés. C’est évidemment préférable. Mais cela ne doit pas conduire à minimiser la gravité de l’incident.

Avec un nom, une adresse, une date de naissance, un numéro de téléphone et des informations sur des commandes, des escrocs peuvent construire des messages extrêmement crédibles. Ils peuvent se faire passer pour l’enseigne, un livreur, une banque ou un organisme administratif. Le risque d’hameçonnage ciblé est donc bien réel et peut durer des mois, voire des années, car une date de naissance ou une adresse ne se modifie pas aussi facilement qu’un mot de passe.

Le client victime doit maintenant assurer lui-même sa protection

Dans le courrier envoyé aux personnes concernées, Intermarché conseille de ne pas cliquer sur des liens suspects, de ne communiquer aucune donnée bancaire et de vérifier les demandes en passant par les coordonnées officielles de l’enseigne.

Ces conseils sont utiles, mais ils donnent aussi une impression désagréable : après avoir confié leurs informations à Intermarché, les clients doivent désormais supporter eux-mêmes les conséquences de leur exposition. C’est à eux de surveiller leurs SMS, leurs appels, leurs messages WhatsApp et leurs prochaines tentatives d’escroquerie.

Autrement dit, l’entreprise a subi l’intrusion, mais ce sont les consommateurs qui devront vivre durablement avec le risque.

Où sont les engagements précis pour éviter une nouvelle fuite ?

Intermarché indique avoir bloqué les accès non autorisés, contenu l’incident, prévenu la CNIL et déposé plainte. Ce sont des démarches nécessaires. Elles correspondent toutefois à la gestion immédiate d’une crise déjà survenue.

La véritable question est ailleurs : que va faire précisément Intermarché pour qu’une telle fuite ne se reproduise pas ?

Le courrier ne donne aucune information concrète sur les futures mesures de sécurisation. Il ne précise pas si un audit indépendant sera réalisé, si les systèmes informatiques seront entièrement contrôlés, si les méthodes de stockage des données seront revues ou si certaines informations devenues inutiles seront supprimées.

Il ne dit pas davantage depuis combien de temps l’accès frauduleux était possible, comment les pirates sont entrés dans le système, ni pourquoi autant d’informations personnelles étaient conservées ensemble.

La sécurité informatique ne peut pas se limiter à annoncer qu’une porte a été refermée après un cambriolage. Les clients sont en droit de savoir pourquoi cette porte a pu être ouverte et quelles protections supplémentaires seront installées.

Des excuses trop administratives face à une atteinte bien réelle

Le courrier se termine par des excuses pour les « désagréments susceptibles de résulter de cet incident ». Cette formule paraît bien faible.

Il ne s’agit pas seulement d’un désagrément. Les données personnelles de centaines de milliers de personnes ont été rendues accessibles à des individus non autorisés. Les clients concernés pourront désormais recevoir des escroqueries personnalisées utilisant des informations exactes sur leur identité ou leurs achats.

Ils méritaient un message plus humain, une reconnaissance plus nette de la gravité de la situation et surtout des engagements précis.

Intermarché aurait pu annoncer un accompagnement renforcé des victimes, une assistance spécialisée contre les fraudes, un audit externe rendu public ou au moins un calendrier de mesures correctrices. Rien de tout cela n’apparaît clairement dans le courrier reçu.

La fidélité ne doit pas être à sens unique

Les enseignes encouragent constamment leurs clients à créer des comptes, utiliser des cartes de fidélité, renseigner leur date de naissance, enregistrer leur adresse et commander en ligne. Toutes ces informations ont une valeur commerciale considérable.

Mais lorsque ces données sont compromises, le consommateur reçoit trop souvent un courrier standardisé lui demandant essentiellement de rester vigilant.

Cela ne suffit plus.

Une entreprise qui collecte autant d’informations doit assumer une responsabilité proportionnelle. Elle doit expliquer, protéger, accompagner et rendre des comptes. Elle doit également démontrer que la protection des données n’est pas une simple obligation réglementaire, mais une véritable priorité.

Les clients d’Intermarché ne demandent pas l’impossible. Ils veulent savoir ce qui s’est réellement passé, combien de personnes sont véritablement concernées et quelles mesures durables seront prises.

Après une fuite d’une telle ampleur, demander aux victimes de faire attention ne peut pas constituer l’unique réponse. Cette fois, c’est à Intermarché de prouver qu’il fait réellement attention à ses clients.