Ricardo : données de 890'000 comptes exposées

Contexte

En bref

• Une faille a exposé environ 890'000 comptes Ricardo
• Noms, adresses postales et numéros de téléphone publics
• Les e-mails et les mots de passe n'ont pas été compromis
• IFPDT informé ; la police et l'UFCS seront informés

Faits clés

• Plateforme → Ricardo
• Société mère → SMG Swiss Marketplace Group
• Détection → mercredi 7 octobre
• Comptes concernés → environ 890'000
• Données exposées → noms, adresses postales, numéros de téléphone
• Données non compromises → adresses e-mail, mots de passe
• Vulnérabilité → complètement résolue
• Autorité notifiée → IFPDT

Mercredi 7 octobre, la plateforme suisse d’achat et de vente en ligne Ricardo a détecté des activités suspectes sur ses serveurs. Elle a immédiatement mis en place des mesures techniques pour sécuriser les systèmes, selon la note diffusée par la société mère SMG Swiss Marketplace Group.

L’enquête ultérieure a établi que les données personnelles d’environ 890'000 comptes utilisateurs avaient été exposées. La liste communiquée comprend les noms, les adresses postales et les numéros de téléphone. La même communication précise que les adresses e-mail et les mots de passe n’ont pas été compromis.

La séquence de l’incident

La première étape a été la détection d’activités suspectes ; la deuxième, l’intervention technique sur les systèmes ; la troisième, l’enquête ultérieure sur l’accès et les données personnelles. Ricardo indique que la vulnérabilité de sécurité qui a permis l’accès a été complètement résolue. La note décrit donc une vulnérabilité liée à l’accès et déclarée complètement résolue après l’activité suspecte.

Pour les personnes qui utilisent la plateforme, la distinction entre les données exposées et les identifiants non compromis constitue le point central de la communication. Les noms, les adresses postales et les numéros de téléphone sont les informations indiquées comme ayant été rendues publiques ; les adresses e-mail et les mots de passe restent en revanche exclus de la liste des données compromises diffusée par la société.

Ricardo informe directement les utilisateurs concernés au sujet de l’incident, de ses implications et des précautions qu’ils peuvent prendre. Dans le respect des exigences légales, Ricardo a informé le Préposé fédéral à la protection des données et à la transparence, l’IFPDT. Il a également annoncé une plainte pénale auprès de la police et un signalement à l’Office fédéral de la cybersécurité, l’UFCS.

La détection a eu lieu sur les serveurs de la plateforme, tandis que la communication aux utilisateurs concerne directement les conséquences sur les données personnelles. La chronologie fournie par la société réunit ces deux aspects sans confondre l’accès avec les identifiants.

La communication de la société mère réunit donc le résultat de la vérification technique, l’exposition des données personnelles et les initiatives lancées par Ricardo. Pour le lecteur, le cadre communiqué se limite à ces catégories : comptes concernés, données personnelles exposées, identifiants non compromis et initiatives lancées par l’entreprise.

Details pratiques

Pour un utilisateur de Ricardo, la question pratique n'est pas seulement de savoir qu'une faille s'est produite, mais de comprendre quelle partie du profil est concernée par l'exposition communiquée. La source distingue clairement les données rendues publiques des informations d'accès : les noms, adresses postales et numéros de téléphone d'une part ; les adresses e-mail et mots de passe d'autre part. Cette distinction permet d'examiner l'incident sans lui attribuer des données autres que celles indiquées.

Ce qu'il faut vérifier dans la communication

Ricardo informe directement les utilisateurs concernés. Le message de la plateforme devrait donc clarifier trois points : l'incident, ses implications et les précautions à prendre. Ce sont les éléments que la société a déclaré vouloir communiquer. Pour un utilisateur qui reçoit l'avis, l'étape pratique consiste à comparer le message à cette structure, sans le remplacer par une liste standard absente de la source.

Sur le plan technique, la séquence décrite est précise : Ricardo a détecté des activités suspectes, a engagé des mesures pour sécuriser les systèmes et, au terme de l'enquête qui a suivi, a établi l'exposition des données. La société déclare en outre que la vulnérabilité qui a permis l'accès a été entièrement corrigée. Le fait technique communiqué est donc la correction de la vulnérabilité ; la lecture pratique doit rester centrée sur ce point.

Le périmètre institutionnel doit lui aussi être considéré sans extrapolation. L'IFPDT a été informé par la plateforme. La plainte pénale auprès de la police et le signalement à l'UFCS sont en revanche des initiatives que Ricardo a annoncées. La source attribue ces initiatives à Ricardo et les présente comme des étapes annoncées, non comme un résultat déjà atteint. Le cas concerne une plateforme de vente et d'achat en ligne ; les parcours du site sur les conti bancari in Svizzera et le calcolatore stipendio restent des outils distincts de la gestion de cet incident.

Pour la personne qui reçoit la communication, l'élément le plus concret est la correspondance entre le compte concerné, les catégories de données exposées et les précautions indiquées. Le reste doit rester ancré dans les constatations et les annonces de la société.

Points cles

Pour rester au plus près des informations disponibles, les étapes pratiques pour un utilisateur concerné sont celles annoncées par Ricardo. Il ne serait pas correct d'étendre la liste des données concernées ou d'ajouter une procédure qui n'est pas décrite.

Les étapes indiquées par la source

1. Lire la communication directe de Ricardo. La plateforme contacte les utilisateurs concernés et a déclaré qu'elle expliquerait l'incident, ses implications et les précautions pouvant être prises. 2. Comparer l'avis avec les catégories rendues publiques. Les données indiquées comme exposées sont les noms, les adresses postales et les numéros de téléphone ; les adresses e-mail et les mots de passe sont indiqués comme n'ayant pas été compromis. 3. Se conformer aux précautions contenues dans la communication individuelle. La source confirme que Ricardo communique les précautions que les utilisateurs peuvent prendre. Les indications pratiques doivent donc être lues dans le message de la plateforme, sans les remplacer par des mesures qui n'y figurent pas. 4. Distinguer la communication aux utilisateurs du suivi institutionnel. Ricardo a notifié l'incident à l'IFPDT et a annoncé le dépôt d'une plainte pénale auprès de la police, ainsi que le signalement à l'UFCS. Ces démarches sont attribuées à la plateforme.

Sur le plan technique, la société affirme avoir immédiatement pris des mesures pour sécuriser les systèmes et indique que la vulnérabilité a été entièrement corrigée. Pour le lecteur, cette information décrit l'état de la correction technique ; elle n'élargit pas la liste des données personnelles indiquées dans la communication.

La séquence documentée reste donc limitée à la réception de l'avis direct, à la lecture des implications, à la vérification des catégories de données et à l'application des précautions indiquées par Ricardo. Il n'est pas nécessaire d'ajouter des étapes que la communication citée n'attribue pas aux utilisateurs.

Pour la personne qui reçoit l'avis, la séquence ne change pas en fonction du nom de l'organisme concerné : vient d'abord la communication de Ricardo, puis la lecture de ses indications. La notification à l'IFPDT, le dépôt de plainte auprès de la police et le signalement à l'UFCS décrivent en revanche la démarche suivie par la plateforme. Le texte distingue ainsi le rapport direct avec l'utilisateur et les démarches annoncées par l'entreprise.

Pour un approfondissement distinct sur les instruments financiers du site, utilise le calcolatore stipendio.

Comparez le taux CHF/EUR en temps réel : économisez jusqu'à 1,5% sur les frais de virement mensuel.

Source: swissinfo.ch

Comparez le taux CHF/EUR en temps réel : économisez jusqu'à 1,5% sur les frais de virement mensuel.