Fuite chez Kiabi

Le 14 janvier 2025, Kiabi — grande enseigne française de prêt-à-porter — a révélé que son site de revente d'occasion, secondemain.kiabi.com, avait été visé par une attaque par credential stuffing détectée le 7 janvier. Les attaquants ont utilisé des couples identifiant/mot de passe issus de fuites sans rapport pour s'introduire massivement, via des bots automatisés, dans les comptes clients de la plateforme.

En accédant à ces comptes, les cybercriminels ont pu récupérer des données personnelles et bancaires partielles d'environ 20 000 clients. La fuite est restée circonscrite au site de seconde main et n'a pas touché la plateforme e-commerce principale de Kiabi.

Les données exposées comprenaient :

• Nom et prénom
• Date de naissance
• Adresse postale et coordonnées
• IBAN (lorsque le client en avait enregistré un)

Kiabi a précisé que les RIB complets et les pièces d'identité n'ont pas été compromis, ceux-ci étant détenus par son partenaire de paiement Lemonway et non accessibles depuis les comptes clients. En réponse, l'entreprise a masqué les IBAN dans les comptes, imposé la réinitialisation de tous les mots de passe et porté la longueur minimale du mot de passe à 14 caractères. Cette vague d'attaques par credential stuffing a été reliée par des chercheurs à un incident similaire survenu quelques jours plus tôt chez Showroomprivé.