250 dollars pour trois millions de fausses données clients
Sur un forum de pirates du darknet, quelqu’un propose à la vente 3,45 millions de données prétendument issues des fichiers clients de Digitec Galaxus. Prix demandé : 250 dollars. L’origine de ces données est inventée de toutes pièces.
Un logo, un prix, un contact pour poser des questions : l’annonce publiée sur le darknet ressemble à une offre sur une plateforme comme eBay, Ricardo ou Tutti, sauf qu’il ne s’agit pas d’une machine à café d’occasion. Ce sont 3,45 millions de contacts clients, prétendument liés à Galaxus et Digitec, qui sont proposés pour 250 dollars, payables en cryptomonnaie.
C’est David Capela, de l’entreprise de sécurité Hackstle (en anglais), qui nous a signalé l’annonce. Son entreprise surveille les forums où circulent des données d’entreprises volées. Il a contacté un membre de notre équipe de sécurité par message privé sur LinkedIn. Une enquête interne a été lancée le jour même : chaque signalement d’un éventuel incident de sécurité est examiné par une équipe constituée à cet effet, qui décide ensuite de la marche à suivre.
L’informateur qui n’a jamais existé
Se faisant passer pour un acheteur potentiel, David Capela a demandé au vendeur, par messagerie Telegram et dans le jargon du forum, d’où provenaient les données. La réponse est arrivée rapidement : grâce à une personne en interne, le vendeur aurait eu accès à une interface de programmation destinée aux développeurs. Les données remonteraient jusqu’en septembre 2026. Interrogé sur la base de données concernée, il a précisé qu’il s’agissait d’une base de données clients centrale et interne.
Une histoire convaincante, à première vue. À un détail près : elle est vérifiable.
Ce que révèle l’échantillon
Pour rendre son offre plus attrayante, le vendeur a publié un échantillon de quelques lignes. On y trouve notamment des noms, des adresses e-mail et postales, des numéros de client et le montant total des achats effectués au cours des douze derniers mois. La comparaison avec nos données a rapidement montré que ces informations étaient inventées. « Nous n’avons trouvé aucune correspondance avec nos données concernant les numéros de client, les dates d’inscription ou les commandes », explique Martin Wrona, Security Engineer chez Digitec Galaxus.
Les détails sont particulièrement révélateurs. Selon l’échantillon, une commande aurait été livrée en juin 2026 dans une boîte PickMup, un point de retrait Migros. Or, nous ne proposons plus cette option de livraison depuis 2024. La commande supposée serait donc passée par un canal qui n’existait plus chez nous à cette date. Les catégories de produits ne correspondent pas non plus. Le document mentionne « Habitat + jardin » ou « Ordinateurs + notebooks », alors que nos catégories portent d’autres noms. Il n’a fallu qu’une heure et demie à l’équipe de Martin pour conclure, après le signalement, qu’il n’y avait pas eu de fuite de notre base de données clients.
« Pour une personne extérieure, ces données peuvent paraître plausibles », explique Martin. « Mais dès qu’il s’agit d’informations que nous seuls pouvons détenir, plus rien ne correspond. » Il ne s’agit donc pas d’un export de notre base de données clients. « Nos clientes et clients n’ont par conséquent aucune mesure particulière à prendre. »
L’échantillon contient toutefois des adresses e-mail également enregistrées chez nous. Cela peut sembler inquiétant, mais il faut remettre ce constat en perspective : plus de cinq millions de comptes clients ont été créés chez Galaxus et Digitec au cours des 25 dernières années. « Je ne suis pas surpris que certaines de ces adresses figurent aussi dans nos fichiers », dit Martin. « Il s’agit probablement d’une compilation d’anciennes fuites contenant des adresses suisses, enrichie d’informations inventées qui auraient pu provenir de chez nous. »
De telles listes restent néanmoins utiles aux criminels. Une collection de véritables adresses e-mail suisses suffit pour envoyer des messages de phishing très convaincants. Nul besoin, pour cela, de numéros de client ou d’historiques de commandes. « C’est pourquoi nous mettons régulièrement en garde contre ce type d’arnaque », conclut Martin.
Les marques connues se vendent mieux
Pourquoi ces prétendus pirates associent-ils leurs données à notre nom ? « Un fichier de données a besoin d’une marque, sinon il se vend mal », explique Martin. Une liste portant le nom d’une entreprise connue rapporte davantage qu’une liste supposément issue d’une centaine de petites boutiques ou constituée à partir d’anciennes fuites.
Ce cas s’ajoute à une série d’affaires similaires impliquant des marques suisses connues. Début septembre, un fichier prétendument lié à Comparis et contenant 190 000 contacts s’est révélé être un faux. Auparavant, un autre fichier était présenté comme contenant les données de 2,8 millions de clients de Betty Bossi. « Des escrocs qui escroquent d’autres escrocs, cela existe depuis les débuts d’Internet », observe Martin. Puisque ces données ne proviennent pas de Digitec Galaxus, nous ne déposerons pas de plainte et ne ferons pas de signalement à l’Office fédéral de la cybersécurité.
Pour résumer : Digitec Galaxus n’a subi ni cyberincident ni fuite de données. Le fichier mis en vente sur ce forum de pirates ne provient pas de chez nous.
Chez Digitec et Galaxus, je suis responsable de l'échange avec les journalistes et les blogueurs. Les bonnes histoires sont ma passion; voilà pourquoi je suis toujours à la page.
Actualités sur les fonctionnalités de la boutique, informations sur le marketing ou la logistique et bien plus encore.
Tout afficher
