Edion : un code malveillant a pu voler numéros de carte et CVV

Les données potentiellement exposées

Le programme malveillant, greffé sur la saisie des informations de paiement sur PC, était actif depuis un peu après 19 h le 4 novembre. Les opérations et saisies depuis un smartphone n'étaient pas visées. Le chiffre de 556 correspond au nombre maximal de nouvelles saisies de carte sur l'écran de paiement : numéro, date d'expiration, titulaire et cryptogramme.

Par ailleurs, lorsqu'une erreur survenait sur l'écran de commande, numéros de carte et cryptogrammes étaient exceptionnellement consignés dans le journal système. Jusqu'à cinq enregistrements de ce type pourraient avoir fuité.

L'enquête a aussi élargi l'incident initial : jusqu'à 5 360 cartes cadeaux Edion (numéro, code PIN, historique d'utilisation) et jusqu'à 1 141 identifiants et mots de passe pourraient être concernés. Edion enverra des courriels invitant les clients touchés à changer de mot de passe et étudie encore le sort des cartes cadeaux.

Contexte et suite

La première annonce évoquait l'exploitation d'une faille par un tiers pour accéder à une partie d'un serveur contenant les journaux du site marchand, avec une fuite possible de données personnelles de 4 131 personnes au plus et de commandes de 9 554 personnes au plus.

Pour limiter les dégâts, Edion a suspendu depuis le 7 novembre à 22 h son site marchand, son application officielle et Edion Smart App. Aucune date de réouverture n'est fixée.