Fuite de données chez LDLC ?

Un pirate propose de vendre plusieurs centaines de milliers d’informations appartenant à des clients de la boutique high-tech LDLC. S’agit-il d’un piratage ou d’une infiltration ? ZATAZ vous explique tout !

1,5 million d’informations de clients de la boutique en ligne LDLC ont été mises en vente par un pirate informatique aux multiples facettes. Est-ce une véritable fuite ? Ou une fausse petit annonce ? Plusieurs internautes ont partagé sur X (anciennement Twitter) des captures d’écran sans vraiment comprendre ce qui se cachait derrière cette proposition commerciale publiée par un pirate nommé Ombre Légendaire.

Ce malveillant est actif sur plusieurs espaces pirates et ne se cache pas bien. Il utilise différentes signatures, telles que Control.Z ou P.Lookup.

Comme je vous l’ai montré sur Twitch, le 28 février 2023 [vidéo en fin d’article], le pirate se spécialise dans la collecte d’informations via les panels des opérateurs téléphoniques. Il propose, par exemple, pour 50 $, d’obtenir n’importe quelle information sur les clients de SFR : « Nom, ville et numéro de téléphone« , explique-t-il.

En septembre 2023, il a lancé un service nommé « Provider Lookup« , qui fonctionne avec Free, Orange, Bouygues, RED by SFR et Sosh. Ce service permettrait, explique le malveillant, de rechercher des informations via le numéro de téléphone, le nom ou le prénom d’une personne ciblée, pour 30 $ payable en cryptomonnaie.

Le pirate explique avoir accès à des outils permettant de récupérer des informations de clients d’opérateurs.

Vente d’accès à des panels d’entreprises

Fin février 2024, Ombre Légendaire, proposait la vente d’accès à un panel qu’il a nommé « État civil« . Pour 200 €, il annonce permettre l’accès à des RIB, SEPA, pièces d’identité, contrats d’opérateurs et informations sur les lignes téléphoniques.

C’est là que l’affaire LDLC devient intéressante. Le pirate semble être français, ou du moins avoir suffisamment de liens avec la France pour s’intéresser uniquement aux consommateurs français. Il affirme avoir accès à un panel LDLC. Comment ? Par l’intermédiaire d’un prestataire ? A-t-il travaillé au service après-vente, etc. ?

Le 26 février 2024, soit quelques heures avant l’annonce sur un forum pirate de la vente de 1,5 million de données clients, le service de veille de ZATAZ avait repéré l’offre de vente d’un accès au panel LDLC.

Un pirate commercialisait cet porte d’entrée potentielle pour 300 €. « Recherche via ID, adresse électronique, nom, prénom, numéro de téléphone« , a pu lire ZATAZ.

Le 26 février, le service veille ZATAZ avait repéré la commercialisation d’un panel LDLC selon le pirate.

Le pirate expliquait que cet accès permettrait de « scraper » les utilisateurs, c’est-à-dire de récupérer, un par un, les données accessibles via une base de données.

Cela pourrait peut-être expliquer la vente annoncée quelques jours plus tard. Il aurait scrapé un certain nombre de données.