Une vague de cyberattaques dévastatrices s'est abattue sur les principaux détaillants, révélant l'état fragile de la cybersécurité dans notre écosystème d'achat de plus en plus numérique. D'Adidas aux géants britanniques du commerce de détail Harrods, Co-op et Marks & Spencer, en passant par les violations massives de la clientèle des boutiques Etsy et TikTok, ces incidents révèlent des vulnérabilités critiques qui requièrent une attention immédiate.
Le paysage des brèches récentes
En mars 2025, Etsy, ainsi que des plateformes telles que TikTok Shop, Poshmark et Embroly, ont été victimes d'un important incident d'exposition de données concernant plus de 1,6 million d'enregistrements de clients. La violation est due à des conteneurs de stockage Microsoft Azure mal configurés, liés à un vendeur de broderies basé au Viêt Nam, dont les mauvaises pratiques en matière de sécurité dans le nuage ont involontairement rendu des informations sensibles sur les clients accessibles au public. Les données exposées comprenaient des noms, des adresses, des adresses électroniques et des confirmations de commande détaillées, créant ainsi une opportunité idéale pour le phishing, l'ingénierie sociale et d'autres cyber-menaces.
Peu après, entre avril et mai 2025, le secteur du commerce de détail britannique a été touché par une cyberattaque coordonnée attribuée au groupe Scattered Spider - le même acteur de la menace à l'origine de l'intrusion de 2023 dans les locaux de MGM Resorts. L'attaque a touché trois grands détaillants. C'est Marks & Spencer qui a le plus souffert, avec une interruption généralisée des ventes en ligne, des pannes de paiement sans contact et l'exposition des données des clients, ce qui a eu un impact financier estimé à 300 millions de livres sterling. Co-op a connu d'importantes pannes de système dans plus de 2 300 magasins, entraînant des ruptures d'approvisionnement et des retards de livraison. De son côté, Harrods a réussi à éviter une violation totale, mais a pris des mesures de précaution en restreignant l'accès à l'internet sur son réseau d'entreprise.
Dans un incident distinct mais connexe, Adidas a signalé un accès non autorisé aux données de contact de ses clients par l'intermédiaire d'un fournisseur de services tiers compromis. Bien qu'aucune donnée financière n'ait été compromise, les noms, adresses électroniques et numéros de téléphone des clients ont été exposés, ce qui souligne les risques permanents de cybersécurité liés aux relations avec les fournisseurs et aux vulnérabilités de la chaîne d'approvisionnement.
Pourquoi les détaillants sont des cibles privilégiées
Avec 33 % de la population mondiale effectuant des achats en ligne, les détaillants constituent des cibles irrésistibles pour les cybercriminels. Ils possèdent de vastes quantités de données sensibles sur leurs clients et opèrent dans des environnements très rapides où de brèves interruptions se traduisent par des pertes massives.
Le marché britannique illustre cette vulnérabilité - une forte adoption du numérique, des écosystèmes de vente au détail denses et des réglementations GDPR strictes créent une tempête parfaite où des attaques réussies permettent de maximiser les dommages en termes de réputation et de réglementation, fournissant un levier pour l'extorsion.
Les pressions économiques et les tensions géopolitiques actuelles ont enhardi les acteurs de la menace, qui exploitent de manière de plus en plus sophistiquée des équipes de sécurité à bout de souffle et des infrastructures vieillissantes.
La voie à suivre : De la sécurité réactive à la sécurité proactive
Ces violations ont des points communs : vulnérabilités de tiers, sécurité inadéquate de l'informatique en nuage et stratégies de défense réactives. La solution passe par un changement fondamental d'approche.
Les détaillants doivent mettre en œuvre des stratégies de sécurité centrées sur les données, dont la priorité est de savoir exactement où se trouvent les informations sensibles et qui peut y accéder. Cette base devrait soutenir :
- Architecture de confiance zéro: Élimination de la confiance implicite pour tout utilisateur ou système
- Protection complète des données: Sécurisez les données à chaque point de contact et à chaque transition
- Surveillance en temps réel: Détectez les menaces dès leur apparition, et non pas une fois que les dégâts ont été causés.
- Réponse automatisée: Réagissez aux incidents plus rapidement que ne le permettent les capacités humaines
- Gestion robuste des fournisseurs: Étendre les normes de sécurité à l'ensemble de la chaîne d'approvisionnement
La crise de la cybersécurité dans le commerce de détail ne ralentit pas, elle s'accélère. Les organisations qui traitent ces incidents comme des événements isolés plutôt que comme des alertes systémiques le font à leurs risques et périls. Le temps de la sécurité réactive est révolu ; la résilience proactive est désormais un impératif commercial.