« Le cas de Cdiscount nous montre une fois de plus que le facteur humain joue un rôle très important dans la cybersécurité. L’utilisation abusive de données par les cadres n’est pas quelque chose qui arrive souvent. Dans la majorité des cas, les organisations signalent des partages de données accidentels ou des attaques de cybercriminels. C’est pourquoi l’accès légitime aux données des clients n’est pas considéré comme un risque, mais il devrait l’être. Qu’il s’agisse d’un abus intentionnel de privilèges ou de la compromission d’un compte à privilèges, l’organisation fait face à une violation de données. Bien que Cdiscount ait rapidement détecté la violation de données par l’intermédiaire de ses services de sécurité, l’entreprise devra prouver qu’elle a fait de son mieux pour protéger les données personnelles de ses clients en vertu du RGPD. Pour atténuer les conséquences du vol de données par des initiés, il est important que les organisations soient en mesure de surveiller le comportement des utilisateurs et de signaler toute tendance inhabituelle, comme le travail en dehors des heures de bureau ou la copie de fichiers en masse, par exemple.

D’après les informations communiquées par Cdiscount sur les types de données volées, les clients concernés n’ont rien subit de majeur pour le moment. Malheureusement, au regard du nombre de cyberattaques qui se produisent, la divulgation des noms et des adresses emails est devenue quelque chose de commun. Toutefois, dans l’hypothèse où les données auraient effectivement été vendues, elles sont susceptibles d’être utilisées dans le cadre d’attaques de phishing notamment. C’est la raison pour laquelle les clients de Cdiscount doivent rester vigilants et mettre à jour leurs mots de passe, à la fois pour leur compte Cdiscount et pour leur adresse email. Si l’occasion se présente, ils ont également tout intérêt à envisager les options d’authentification à deux facteurs. De plus, ils vont potentiellement recevoir un nombre inhabituel d’appels entrants et d’emails avec des offres personnalisées. Des informations sur des commandes passées ayant également été volées, elles sont donc en effet susceptibles de servir pour des tentatives d’attaques. Il ne faut alors surtout pas faire confiance à ces propositions ou demandes, surtout si elles encouragent des actions urgentes et requièrent des informations supplémentaires. »