Fuite de données Domino’s

Domino’s, c’est quoi ?

Domino’s Pizza n’a pas besoin d’être présentée : commande en ligne, livraison à domicile. Vous êtes potentiellement concerné si vous avez commandé sur le site français ou belge de l’enseigne au début des années 2010. Un compte créé pour une seule commande suffit.

Ce qui s’est passé

En juin 2014, Domino’s Pizza France et Belgique a été piraté par un groupe se faisant appeler « Rex Mundi », qui a pris les données clients en otage et réclamé une rançon.

L’enseigne a refusé de payer. Six mois plus tard, les attaquants ont publié les données, en même temps que d’autres lots piratés.

Le lot contient 648 000 adresses email, avec noms, numéros de téléphone, adresses postales et mots de passe. Ces derniers étaient si mal protégés qu’en pratique, cela revient à peu près à les stocker en clair.

Les données exposées

• mots de passe
• numéros de téléphone
• adresses postales
• adresses email
• noms

Les personnes touchées ne sont pas forcément concernées par chaque catégorie.

Le niveau de risque

Gravité élevée : la fuite contient des mots de passe.

Le mot de passe de l’époque doit être considéré comme public : s’il ressemble encore à l’un de ceux que vous utilisez, remplacez-le, en priorité sur la boîte mail et la banque. L’autre donnée durable ici est l’adresse postale associée à votre nom et à votre téléphone : elle ne « périme » pas et alimente le démarchage, parfois frauduleux. Cette fuite a aussi une valeur d’exemple : refuser la rançon était la bonne décision, mais cela ne protège pas les clients. Une fois les données volées, leur publication ne dépend plus de l’entreprise.

Que faire si vous êtes concerné

1. Si vous avez un compte sur Domino’s (pizza.dominos.be), pensez à changer votre mot de passe.
2. Si vous utilisiez le même mot de passe ailleurs, le plus important est de le changer partout.
3. Par précaution, vous pouvez activer la double authentification sur votre boîte mail et vos comptes sensibles.
4. Votre numéro de téléphone est potentiellement exposé. Vous pourriez recevoir des SMS ou des appels qui semblent vous connaître.
5. Votre nom est potentiellement exposé. Il ne peut pas être effacé d’Internet : un message qui le cite ne prouve donc pas qu’il est sérieux.

Bon à savoir : vous pouvez signaler les tentatives d’arnaque : transférer les SMS frauduleux au 33700, signaler les e-mails sur signal-spam.fr et retrouver les bons réflexes sur cybermalveillance.gouv.fr.

Pour aller plus loin : Mon mot de passe est compromis : que faire ? · Mon numéro de téléphone a fuité · Reconnaître les arnaques qui suivent une fuite