Who Gives A Crap dit qu’un fournisseur marketing a exposé noms et adresses

Who Gives A Crap, l’entreprise australienne connue pour son papier hygiénique et ses papiers ménagers recyclés, a dit à certains clients que leurs renseignements personnels ont été atteints lors d’un incident chez un fournisseur de logiciel de marketing. Le fournisseur est établi aux États-Unis. L’entreprise ne l’a pas nommé.

Ce qui s’est passé

ABC News a rapporté le 8 novembre que les clients dont les renseignements ont pu être atteints ont reçu un courriel le samedi 7 novembre, et qu’une déclaration du chef de la direction et cofondateur Simon Griffiths a été publiée après que l’entreprise a été informée de l’incident le vendredi 6 novembre. Cyber Daily, qui a vu le courriel aux clients, date cet avis à la fin de la journée du 7 novembre et cite Griffiths : « I’m writing to inform you that your personal information was accessed without authorisation in a security incident at one of our marketing software providers. »

Selon ces reportages, qui citent l’entreprise :

• L’accès a commencé le 30 octobre, a été décelé le 31 octobre et a été sécurisé le 1er novembre.
• Les systèmes qui contenaient des renseignements des boutiques d’Australie, du Royaume-Uni et des États-Unis étaient en cause.
• Le fournisseur a indiqué qu’aucun renseignement personnel de clients canadiens n’a été atteint.
• Les renseignements en cause étaient les prénoms et noms, les adresses courriel, les numéros de téléphone, les adresses postales et le montant total dépensé chez Who Gives A Crap.
• Les données de paiement, les détails de commandes et les mots de passe n’étaient pas en cause.
• L’entreprise ne sait pas encore si les renseignements ont été copiés ou téléchargés.
• Elle dit n’avoir aucune preuve d’utilisation abusive pour l’instant, et que les comptes Who Gives A Crap des clients n’ont pas été atteints directement et restent sécurisés.

Griffiths s’est excusé. ABC le cite ainsi : « I’m sorry this happened...Our team is doing everything we can to monitor the situation and strengthen our defences against breaches. » L’entreprise a dit avoir déconnecté le fournisseur de ses systèmes, avoir changé les identifiants d’accès, discuter avec le fournisseur de l’enquête, et communiquer avec les autorités de réglementation concernées au besoin. Elle a aussi dit qu’elle mettrait les clients à jour si elle apprenait quelque chose de nouveau qui les touche, ou qui touche leurs données.

Ce que ça signifie pour vous

Un nom, une adresse courriel, un numéro de téléphone, une adresse postale et un total de dépenses suffisent pour rédiger un message qui semble venir de la boutique où vous achetez déjà. Quelqu’un pourrait mentionner ce que vous dépensez habituellement, ou envoyer une fausse « mise à jour de commande » ou une fausse offre de remboursement à l’adresse au dossier. Les données de paiement ne faisaient pas partie de cet incident, selon l’entreprise, donc ce n’est pas en soi une raison de remplacer une carte. C’est une raison d’être prudent avec un contact inattendu.

Si vous achetez depuis le Canada, le rapport du fournisseur, tel que relayé par l’entreprise, est que vos renseignements n’ont pas été atteints. Il s’agit du récit du fournisseur, pas d’un audit indépendant publié dans ces reportages.

Ce que vous pouvez faire

1. Si vous avez reçu le courriel de l’entreprise, gardez-le comme référence pour ce qu’il dit avoir été en cause. Ouvrez Who Gives A Crap comme d’habitude si vous devez vérifier une commande, pas par un lien dans un nouveau message.
2. Traitez comme suspects les courriels, textos, appels et courriers inattendus au sujet d’une commande, d’un remboursement ou d’un prix, même s’ils utilisent votre nom ou votre adresse. L’entreprise a demandé aux clients de rester attentifs et de vérifier toute communication qui prétend venir d’elle.
3. Vous n’avez pas à changer votre mot de passe Who Gives A Crap à cause de cet incident, d’après ce que l’entreprise a dit : les mots de passe n’étaient pas en cause et les comptes clients n’ont pas été atteints directement. Si vous avez réutilisé ce mot de passe ailleurs, changer les autres comptes reste une bonne pratique.
4. Voyez comment les fraudeurs utilisent les données divulguées pour qu’un message paraisse personnel si une note arrive qui mentionne votre adresse ou ce que vous dépensez.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque boutique une adresse qui lui est propre, pour qu’un faux message arrivé à la mauvaise adresse se remarque. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Coinbase : des coordonnées de clients exposées par le fournisseur d’analytique Amplitude : un autre cas où un fournisseur de marketing ou d’analytique, et non la connexion de l’entreprise elle-même, a été le chemin.
• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage, et comment le repérer : ce que valent un nom, une adresse et un total de dépenses pour quelqu’un qui rédige un faux message de boutique.

Sources

• ABC News, Who Gives A Crap confirms customer data exposed in software breach (en anglais), 8 novembre 2026
• Cyber Daily, Aussie recycled toilet paper brand Who Gives a Crap discloses data breach (en anglais), 8 novembre 2026