Données clients volées : des hackers réclament une rançon à Domino's

Des hackers réclament 30 000 euros à Domino's Pizza, pour restituer les données dérobées de l'enseigne. Les hackers se sont emparés des coordonnées personnelles de 592 000 clients français et de 58 000 clients belges. Domino's a informé ces clients via les réseaux sociaux et par e-mail, leur recommandant de modifier leur mot de passe. « Le site hacké ne renferme pas de coordonnées bancaires », assure une porte-parole de l'entreprise. Tout simplement parce que le paiement n'est pas proposé en ligne (il s'effectue en magasin ou auprès du livreur) !

Les hackers, qui seraient un groupe d'origine belge, ont récupéré les données via une attaque sur la plateforme technique utilisée par Domino's « pour gérer son site commerçant et effectuer ses campagnes promotionnelles en France et en Belgique ». Selon le fil Twitter de l'entreprise, les données étaient cryptées, mais l'entreprise juge probable que les « professionnels aguerris » qui se sont introduits dans ses systèmes soient parvenus à décoder les informations récoltées.

Même mode opératoire qu'avec Numéricable

Sur Pastebin, le groupe de hackers, baptisé Rex Mundi, assure avoir mis la main sur des noms, des adresses, des numéros de téléphone, des e-mails, des mots de passe, des instructions de livraison ainsi. que des préférences en matière de composition de pizzas. Faute de rançon payée avant ce soir, 16 juin, à 20h, Rex Mundi menace de publier « l'intégralité des données » en sa possession. A ce stade, la communication de Domino's indique que l'entreprise refuse de verser une quelconque rançon à un groupe criminel. Une plainte a par ailleurs été déposée par la chaîne de restaurants auprès du procureur de la République de Paris.

Le groupe Rex Mundi n'en est pas à son premier exploit. Loin s'en faut. Les hackers sont notamment à l'origine du piratage de la société américaine spécialisée dans le crédit AmeriCash Advance (en 2012), de la banque Dexia ou encore de l'hébergeur belge Alfa Hosting (en 2014). Lors de cette dernière attaque, les noms de 12 000 clients de l'hébergeur avaient été publiés online. En 2013, les hackers étaient parvenus à dérober les données personnelles de quelque 6 000 clients du câblo-opérateur Numéricable, réclamant une rançon de 22 000 euros pour ne pas les publier. Le groupe de télécoms avait refusé le chantage et Rex Mundi avait mis sa menace à exécution.

« L'un des éléments potentiellement les plus inquiétants réside dans le fait que, dans une copie de l'information originelle publiée par les hackers, les mots de passe figurent en clair », observe Jon French, un analyste en sécurité de la société AppRiver cité par le Guardian. Et de se demander si Rex Mundi est parvenu à cracker le code ou à utiliser une 'rainbow table' (permettant de retrouver un mot de passe à partir de son empreinte) ou alors si ces informations essentielles étaient stockées en clair, contrairement à ce qu'affirme la chaîne de restaurants. Ce qui constituerait un gros ratage de la part de Domino's.

La société explique avoir réalisé un audit de ses procédures de sécurité et retravaillé certains éléments de son système. Sans plus de détails.

En complément : la longue série des vols de données ces derniers mois

- Piraté, Ebay lance un appel mondial pour changer les mots de passe

- Les vols de données clients se poursuivent chez Orange

- Données : le vol d'identifiants est à la base de deux attaques sur trois

- 5 questions pour mieux comprendre la fuite de données chez Orange

- Vol de données : Adobe toujours pas sorti d'affaire

- Adobe : le plus grand vol de données de tous les temps ?