Citadium touché indirectement par la compromission de Shipup

Citadium, enseigne de mode urbaine du groupe Printemps, fait partie des marques dont des données clients ont été exposées à la suite de la compromission de Shipup, prestataire spécialisé dans le suivi des colis et les notifications post-achat. L’incident ne correspond pas à une intrusion directe dans les systèmes de Citadium : Shipup utilisait Metabase pour analyser certaines informations, et une vulnérabilité critique de cet outil a été exploitée dans une campagne ayant touché plusieurs organisations. Les données potentiellement accessibles comprennent notamment les noms, prénoms, adresses e-mail et numéros de téléphone lorsqu’ils avaient été renseignés pour le suivi d’une commande. Les informations disponibles ne signalent pas d’exposition de mots de passe ou de coordonnées bancaires. Le risque principal tient à la contextualisation des données : un attaquant connaissant l’identité d’un client et son lien avec une enseigne peut fabriquer de faux messages de livraison, de remboursement ou de mise à jour d’adresse nettement plus convaincants qu’un phishing générique.