Pearl.fr, victime d'un pirate (mise à jour)

Après le PlayStation Store l'an dernier, ce sont les informations sur les clients du site Pearl.fr qui ont été dérobées et qui se retrouvent désormais dans la nature. 

Plusieurs milliers de comptes clients (et non plus de 700 000 comptes comme précédemment annoncés) seraient concernés. Le pirate s'est même vanté de son forfait sur Twitter, précisant que les mots de passe des comptes clients dérobés étaient stockés en clair, sans cryptage. Selon Zataz, le pirate aurait joué un double jeu. Un internaute, se faisant appeler NullSecurityTeam, a contacté la direction du site français pour proposer ses services moyennant 2 500€. La société française a refusé et le pirate a diffusé les données.

Dans l'embarras, Pearl.fr a fermé son site pendant la nuit et entrepris le chiffrement des mots de passe et des données bancaires des clients concernés. Ceux-ci devraient recevoir un mail leur expliquant le problème. Ce matin, le site est de nouveau accessible.

La société ne devrait pas en rester là et compte déposer plainte. 

Pour l'heure, le service juridique du site pearl.fr précise " aucune donnée bancaire n’est accessible depuis notre site. Lors de leurs commandes les clients procèdent aux règlements directement sur les sites de nos Banques partenaires (CIC ou Banque populaire). A aucun moment nous n’avons leurs coordonnées dans notre base clients accessible sur notre site. Ce que le pirate nomme « 1 115 050 transactions bancaires » correspond juste à un comptage du nombre de confirmations de commandes que nous avons reçues et non à des numéros de compte ou des numéro de cartes bancaires de clients ".

Le site Zataz a beau avoir vérifié une dizaine d'identités de clients de pearl.fr, via leur numéro de téléphone, le listing de numéros de cartes ne correspondrait à rien. " Ces dernières n’appartiennent absolument pas à nos clients et ne sont pas valides ", précise le responsable juridique du site de e-commerce.

De plus, poursuit pearl.fr, " seuls 2 998 comptes clients ont pu être atteints par cette attaque. Les seules informations que le pirate a pu avoir sont les données personnelles : nom, prénom, adresse (ville, code postal, pays), adresse e-mail, sexe, date de naissance, numéro de téléphone et mot de passe ". Ce qui est déjà très ennuyeux...

Article modifié le 4 août.