Fuite de données chez Zara : quelles informations ont été exposées ?

Les champs exposés auraient notamment compris :

• des adresses e-mail ;
• des données de marché géographique ou de localisation ;
• des informations d’achat et de commande, avec selon certains rapports des identifiants de commande, des produits ou des références SKU ;
• des données liées aux tickets de support.

Pris isolément, ces éléments peuvent sembler moins sensibles qu’un mot de passe ou qu’un numéro de carte. Le problème vient de leur combinaison : un fraudeur peut s’en servir pour rédiger un message très crédible, en citant une vraie adresse e-mail, un marché, une commande, un produit ou une interaction avec le service client. Cloaked a ainsi averti que ces données pouvaient faciliter le phishing et des tentatives de prise de contrôle de compte, même sans mot de passe ni numéro de carte bancaire.

Ce qui n’aurait pas été consulté

Inditex aurait indiqué que les mots de passe et les informations de carte de paiement n’avaient pas été consultés. Daily.dev a aussi rapporté que les noms, numéros de téléphone, adresses, identifiants et données de paiement n’avaient pas été compromis.

Il faut toutefois garder une nuance importante : Inditex n’a pas publié, à ce stade, de rapport technique complet détaillant l’ensemble de l’incident. BleepingComputer a également noté que Zara et Inditex n’avaient pas communiqué tous les éléments, dont un décompte officiel complet des personnes touchées.

Pour les clients, la conclusion pratique est donc la suivante : sur la base des informations actuellement rapportées, il ne s’agit pas d’une fuite de cartes bancaires. Le risque le plus immédiat concerne plutôt l’ingénierie sociale — ces e-mails ou messages qui se font passer pour une communication légitime de Zara au sujet d’une livraison, d’un remboursement, d’un paiement refusé ou d’une demande au support.

Comment ShinyHunters aurait obtenu l’accès

La version confirmée par Inditex pointe vers l’extérieur de ses propres systèmes : l’accès non autorisé serait lié à des bases de données hébergées par un ancien fournisseur technologique ou un prestataire externe.

Les rapports de cybersécurité ont ensuite relié l’incident au groupe d’extorsion ShinyHunters. BleepingComputer a rapporté que le groupe avait revendiqué l’attaque et déclaré avoir divulgué une archive de 140 Go, prétendument extraite d’instances BigQuery au moyen de jetons d’authentification Anodot compromis. D’autres publications désignent également Anodot, un fournisseur d’analytique, comme la voie tierce présumée ayant permis d’atteindre des données de clients en aval.

Autrement dit, le scénario rapporté ne serait pas : « des pirates ont forcé la page de paiement de Zara ». Il ressemblerait plutôt à ceci : obtention ou compromission de jetons d’authentification valides chez un tiers, utilisation de ces accès pour atteindre des environnements de données dans le cloud, puis exfiltration des informations qui s’y trouvaient. Cette lecture est cohérente avec la position d’Inditex, qui situe l’origine de l’incident chez un ancien prestataire plutôt qu’au cœur de sa propre infrastructure.

Les zones d’ombre qui subsistent

Le dossier public reste moins complet qu’un rapport d’enquête forensique. L’explication technique détaillée de l’accès attribué à ShinyHunters repose en partie sur les déclarations du groupe lui-même et sur des rapports de cybersécurité, et doit donc être lue comme l’hypothèse la plus rapportée à ce jour plutôt que comme une conclusion officielle entièrement documentée.

Même la taille de l’archive revendiquée varie selon les sources : BleepingComputer et Daily.dev citent une archive de 140 Go, tandis que Cork Safety Alerts mentionne une revendication de ShinyHunters portant sur 192 Go extraits d’instances cloud BigQuery. Pour les particuliers, le chiffre le plus utile reste celui des enregistrements signalés via Have I Been Pwned : environ 197 400 entrées concernées.

Que faire si vous êtes client Zara ?

Si votre adresse e-mail a pu figurer dans le jeu de données, le bon réflexe est de se méfier des messages non sollicités liés à Zara. Évitez de cliquer sur les liens reçus par e-mail ou SMS au sujet d’un remboursement, d’un problème de livraison, d’un paiement à régulariser, d’un avantage fidélité ou d’un ticket de support. Passez plutôt directement par le site officiel ou l’application Zara.

Comme les informations actuellement disponibles indiquent que les mots de passe et les données de carte bancaire n’ont pas été consultés, le remplacement massif des cartes de paiement n’apparaît pas comme la première mesure évidente au vu des faits connus. En revanche, si vous réutilisez le même mot de passe sur plusieurs comptes de commerce en ligne, mieux vaut le changer, et activer l’authentification à plusieurs facteurs lorsqu’elle est proposée.

Pourquoi l’affaire dépasse le seul cas Zara

Cet incident rappelle qu’une exposition de données clients peut venir de connexions tierces — outils d’analyse, prestataires cloud, entrepôts de données — même lorsqu’une entreprise affirme que ses systèmes principaux n’ont pas été directement compromis.

Pour les équipes de sécurité, le chemin rapporté autour de jetons d’accès et d’environnements BigQuery renvoie à des mesures bien connues : révoquer les accès des anciens fournisseurs, faire tourner les jetons d’authentification, limiter strictement les permissions dans les entrepôts de données cloud, surveiller les exports inhabituels et auditer les droits d’accès aux jeux de données clients.

En clair : la fuite Zara semble plus limitée qu’une compromission de mots de passe ou de cartes bancaires, mais elle reste exploitable. Le danger ne tient pas seulement aux données sorties, mais aussi au fait qu’une connexion tierce aurait rendu accessibles des informations clients associées à une marque mondiale.