Piratage chez Kiabi et Showroomprivé : des IBAN volés mais pas que !

Les cyberattaques se multiplient et touchent des enseignes bien connues du e-commerce. Kiabi et Showroomprivé figurent parmi les victimes récentes de techniques de piratage sophistiquées, exposant des failles dans la sécurité des données. Mais comment se protéger efficacement ?

Entre le 3 et le 7 janvier 2025, les plateformes de Kiabi et Showroomprivé ont été la cible de cyberattaques exploitant une technique redoutable : le credential stuffing. Cette méthode, qui repose sur l’utilisation de données volées lors d’anciennes fuites, a permis de compromettre des milliers de comptes. Si les mesures de protection ont permis de limiter les dégâts chez Showroomprivé, Kiabi a vu 20 000 comptes affectés, exposant des informations sensibles telles que des IBAN.

Comment fonctionne le credential stuffing ?

Le credential stuffing repose sur une faille comportementale courante : la réutilisation des mots de passe sur plusieurs plateformes. Les pirates exploitent des bases de données d’identifiants dérobés pour tester automatiquement ces combinaisons sur d’autres sites. En cas de correspondance, ils accèdent aux comptes ciblés, souvent avec des informations sensibles.

Les étapes typiques de cette attaque :

1. Obtention des identifiants : Récupérés lors de fuites de données massives.
2. Automatisation des essais : Utilisation de bots pour tester les identifiants sur des milliers de comptes.
3. Accès aux données : Si les identifiants sont valides, les pirates extraient des informations exploitables.

Les cyberattaques de Kiabi et Showroomprivé : Une double alerte

Chez Showroomprivé : Rapidité et efficacité

Entre le 3 et le 6 janvier 2025, Showroomprivé a détecté des tentatives d’accès suspectes sur ses comptes utilisateurs. Grâce à un système de surveillance avancé, l’entreprise a réagi immédiatement :

• Mots de passe réinitialisés : Les comptes ciblés ont été sécurisés.
• Aucun dommage signalé : Les données personnelles sont restées intactes.

Chez Kiabi : Une exposition inquiétante

Le 7 janvier 2025, l’ancien site de seconde main de Kiabi a été infiltré, compromettant 20 000 comptes. Les informations dérobées incluent :

• Noms, prénoms et coordonnées.
• IBAN enregistrés pour des transactions.

Malgré les efforts de l’entreprise pour masquer les IBAN et alerter les clients, cette fuite illustre les limites des protections face à des attaques automatisées.

Comment se protéger face au credential stuffing ?

Recommandations pour les utilisateurs

1. Changer régulièrement ses mots de passe : Éviter leur réutilisation sur plusieurs plateformes.
2. Adopter l’authentification multi-facteur (MFA) : Ajouter une couche de sécurité supplémentaire.
3. Utiliser un gestionnaire de mots de passe : Générer et stocker des combinaisons uniques et complexes.

Les attaques contre Kiabi et Showroomprivé dévoilent les nouveaux défis en matière de cybersécurité. Alors que les entreprises renforcent leurs systèmes de protection, la responsabilité incombe aussi aux utilisateurs de diversifier leurs mots de passe et de privilégier des solutions comme l’authentification multi-facteur. La vigilance reste essentielle dans un environnement numérique où les données personnelles sont des cibles lucratives.