Les cyberattaques présumées chez H&M : un signal d'alarme pour les détaillants

Les grandes marques de détail sont-elles réellement préparées à l'assaut incessant de groupes cybercriminels sophistiqués, ou assistons-nous à un secteur qui peine à suivre le rythme ? Les récentes affirmations du groupe de hackers Shiny Hunters, selon lesquelles ils auraient pénétré les serveurs de H&M, malgré les dénégations du géant de la mode, envoient un message glaçant: la complaisance est un luxe qu'aucune entreprise ne peut se permettre.

Des rapports sont apparus le 12 octobre 2026, alléguant que H&M avait été ciblé par Shiny Hunters, un groupe notoire associé à des violations de données à grande échelle. H&M a rapidement lancé une enquête, engageant un expert tiers en criminalistique numérique pour évaluer la situation. Cependant, le détaillant suédois soutient qu'il n'a trouvé « aucune indication que notre environnement de données a été compromis » jusqu'à présent, et le bureau du commissaire à l'information (ICO) du Royaume-Uni n'avait pas reçu de rapport de l'entreprise ce lundi à l'heure du déjeuner. Cet incident fait écho aux révélations récentes du détaillant de mode en ligne ASOS le 6 octobre 2026, qui a confirmé un accès non autorisé aux informations de ses clients via un système tiers, et à un incident de cybersécurité en cours chez TFG London affectant ses marques de mode.

L'ombre persistante de la cybercriminalité professionnelle

Shiny Hunters n'est pas un nouvel acteur dans le paysage de la cybercriminalité; ce groupe est actif depuis 2019, se spécialisant dans les violations de données motivées financièrement et l'extorsion. Ils sont connus pour cibler de grandes entreprises dans la technologie, la finance et le commerce de détail, volant souvent des millions de dossiers clients à la fois. Leurs tactiques sont loin d'être rudimentaires, employant des erreurs de configuration du cloud, le vol de jetons OAuth, les attaques de la chaîne d'approvisionnement, les exploits zero-day et l'ingénierie sociale avancée, y compris le hameçonnage vocal, pour obtenir l'accès. Parmi leurs précédentes victimes de haut niveau figurent Google, Microsoft, Ticketmaster, Jaguar Land Rover et même le FBI, démontrant leur portée et leur efficacité, comme détaillé par Cybersecurity Insiders et leur entrée Wikipédia. Le FBI lui-même décrit Shiny Hunters comme étant spécialisé dans les « violations de données à grande échelle et l'extorsion », et ils utilisent fréquemment des tactiques de harcèlement, des SMS menaçants aux appels téléphoniques, pour faire pression sur les victimes afin qu'elles paient des rançons. Il s'agit d'une menace sophistiquée et organisée, et leur ciblage présumé de H&M souligne qu'aucune marque, quelle que soit sa taille, n'est hors de leur vue.

Au-delà du périmètre: la chaîne d'approvisionnement et l'ingénierie sociale comme points faibles

Le schéma de ces récents incidents de détail révèle une vulnérabilité critique qui s'étend au-delà du périmètre numérique immédiat d'une entreprise. ASOS, par exemple, a confirmé que sa violation provenait d'un attaquant se faisant passer pour un contact de confiance afin d'obtenir des identifiants d'employés, qui ont ensuite été utilisés pour accéder à des plateformes de communication client tierces. Bien que H&M n'ait pas encore confirmé de compromission, un rapport récent d'IT-Daily suggère que des échantillons de données indiquent le logiciel d'entrepôt GreyOrange comme un vecteur potentiel en lien avec les allégations concernant H&M. Ces exemples soulignent que les attaquants exploitent de plus en plus les faiblesses de la chaîne d'approvisionnement ou de l'élément humain, plutôt que les seules vulnérabilités directes du système. Une cybersécurité robuste, à notre avis, doit désormais englober une vérification exhaustive des fournisseurs tiers et une formation continue et complète des employés contre les tactiques d'ingénierie sociale, reconnaissant qu'une erreur humaine peut être aussi catastrophique qu'une faille logicielle. De plus, le Fonds monétaire international a averti du potentiel risque systémique que les cyberattaques représentent pour le secteur financier mondial.