Violation de données chez Morele.net

Fin 2018, le groupe de commerce en ligne polonais Morele.net — exploitant d'une famille de boutiques en ligne populaires d'électronique et de produits divers — a subi une violation de base de données qui a exposé les données d'environ 2,2 millions de clients et a alimenté une vaste campagne de fraude par hameçonnage SMS (smishing). L'affaire a donné lieu à ce qui était alors la plus grande amende RGPD de Pologne.

Ce qui s'est passé

La violation est apparue publiquement en novembre 2018, lorsque des clients ont commencé à recevoir des SMS affirmant qu'ils devaient effectuer un paiement supplémentaire de 1 PLN pour finaliser une commande récente. Chaque message contenait un lien vers une passerelle de paiement électronique Dotpay contrefaite conçue pour récolter les identifiants de cartes de paiement. Le caractère personnalisé des messages — faisant référence à de vraies commandes — montrait clairement que les attaquants avaient obtenu les données de commande et de contact des clients depuis les systèmes de Morele.

L'enquête a établi qu'une partie non autorisée avait accédé à la base de données clients de l'entreprise, exfiltrant des dossiers utilisés pour rendre les leurres de hameçonnage convaincants.

Impact

• Les données d'environ 2,2 millions de clients ont été compromises.
• Les informations exposées comprenaient noms, adresses e-mail, adresses de livraison, numéros de téléphone et empreintes de mots de passe ; une analyse a recensé près de 2,5 millions d'adresses e-mail uniques.
• La campagne de smishing consécutive a tenté de frauder les clients via la fausse passerelle de paiement, transformant une violation de données en risque direct de fraude financière.

Issue réglementaire

Le 19 septembre 2019, l'Office polonais de protection des données personnelles (UODO) a infligé une amende de plus de 2,8 millions de PLN (environ 660 000 EUR) — à l'époque la plus élevée sanction de protection des données de Pologne. L'UODO a identifié trois manquements principaux : Morele.net a enfreint le principe de confidentialité du RGPD, n'a pas surveillé efficacement les activités inhabituelles telles que les téléchargements anormaux de données, et n'a pas réagi assez vite lorsque de grands volumes de données étaient exfiltrés. Le régulateur a conclu que les garanties organisationnelles et techniques de l'entreprise étaient tout simplement inadéquates au regard du volume et de la sensibilité des données détenues.

Des années plus tard, le volet pénal a porté ses fruits : en 2025, un suspect polonais a été inculpé en lien avec la violation, soit environ sept ans après les faits.

Pourquoi c'est important

La violation Morele.net est devenue un test déterminant de l'application du RGPD en Pologne et un exemple typique de la façon dont une compromission de base de données s'enchaîne avec un smishing de masse. L'amende record a signalé que les régulateurs sanctionneraient une surveillance déficiente et une détection lente — et pas seulement le fait d'une violation — établissant que la détection d'anomalies en temps réel est une attente de base pour les grandes plateformes grand public.