Printemps : des données clients exposées dans la cascade Shipup / Metabase

Des clients de Printemps, groupe français de grands magasins, ont été concernés par une fuite provenant non pas des systèmes de l’enseigne elle-même mais de Shipup, son prestataire de suivi de livraison. Shipup a été compromis dans le cadre de l’exploitation d’une vulnérabilité critique de Metabase, logiciel d’analyse de données utilisé en interne. Les informations signalées comme exposées sont les nom, prénom, adresse e-mail et, lorsqu’il était disponible, le numéro de téléphone. Les notifications indiquent que les mots de passe, les coordonnées bancaires et les données de paiement ne sont pas concernés. Le cas Printemps est particulièrement intéressant car il montre une fuite en cascade : l’éditeur d’un outil technique est touché, puis un prestataire e-commerce, puis plusieurs enseignes clientes et enfin leurs consommateurs. Printemps avait notifié l’incident à la CNIL et informé les personnes concernées. Pour les clients, le principal risque est désormais le phishing lié à de fausses commandes ou livraisons utilisant des informations réelles pour gagner en crédibilité.