iFood a annoncé mercredi 3 juin avoir identifié une fuite de données affectant environ 1.2 million d'utilisateurs, soit près de 2 % de sa clientèle. Selon l'entreprise, la cyberattaque a eu lieu en décembre 2025, mais a été détectée et neutralisée rapidement. Cette annonce fait suite aux déclarations d'un utilisateur de BreachForums, un forum du dark web connu pour la vente et l'échange d'informations volées, qui affirmait la semaine dernière être en possession des données de plus de 43.84 millions de clients brésiliens d'iFood. Les données en question incluraient les numéros CPF, les noms, les adresses électroniques, les numéros de téléphone et les informations relatives aux cartes bancaires.
Ce contenu n'est destiné qu'aux abonnés
Pour déverrouiller ce contenu, abonnez-vous à Rapports INTERLIRA.
Pouvoirs publics
L'entreprise a justifié sa décision en affirmant ne pas avoir notifié l'Autorité nationale de protection des données (ANPD) car, selon son évaluation, l'incident ne présentait pas de risque significatif ni de préjudice substantiel pour les personnes concernées, conformément à la réglementation brésilienne. L'ANPD a toutefois indiqué à Folha de S.Paulo avoir déjà contacté officiellement iFood et demandé des informations détaillées concernant l'incident et ses conséquences potentielles.
Obligation de communiquer
L'ANPD a déclaré qu'en vertu du Règlement brésilien sur la communication des incidents, les responsables du traitement des données sont tenus d'informer l'autorité compétente et les personnes concernées dans un délai de trois jours ouvrables lorsqu'un incident de sécurité est susceptible d'entraîner un risque ou un préjudice important pour les personnes concernées. Rafael Zanatta, codirecteur de l'association Data Privacy Brasil, a affirmé qu'il ne fait aucun doute que cet incident relève des obligations de déclaration. Selon lui, une violation de données affectant plus d'un million de personnes constitue un événement majeur. Il a souligné que l'ANPD évalue non seulement le nombre d'utilisateurs touchés, mais aussi la portée géographique de l'incident. Compte tenu de la présence d'iFood sur l'ensemble du territoire brésilien, M. Zanatta soutient que l'entreprise avait l'obligation de signaler la violation et qu'elle s'exposait à des sanctions réglementaires en cas de manquement.
Dommages potentiels
Selon Zanatta, les risques les plus importants liés à cet incident ne concernent pas la fraude financière impliquant des mots de passe ou des cartes de paiement, car rien n'indique pour l'instant que de telles informations aient été compromises. Le principal souci réside plutôt dans les attaques d'ingénierie sociale, les campagnes d'hameçonnage et la diffusion de logiciels malveillants via des liens, des courriels ou des SMS frauduleux. Il conseille aux utilisateurs de faire preuve de prudence lorsqu'ils reçoivent des messages via WhatsApp, courriel ou SMS, en particulier lorsque l'expéditeur ne peut être vérifié de manière indépendante. Les experts avertissent que les informations personnelles divulguées peuvent être utilisées par les cybercriminels pour créer des escroqueries convaincantes visant à obtenir des données sensibles supplémentaires ou à accéder sans autorisation à des comptes et des appareils.
Analyse:
Du point de vue de la cybersécurité, l'aspect le plus significatif de cette affaire n'est pas nécessairement le nombre d'utilisateurs touchés, mais le débat autour des obligations de divulgation et de l'évaluation des risques. Une violation de données impliquant environ 1.2 million de personnes constitue un incident de sécurité majeur, quel que soit le critère retenu, en particulier lorsqu'elle affecte une plateforme à portée nationale. Le désaccord entre iFood et l'Autorité nationale de protection des données illustre un défi plus général auquel sont confrontés les régulateurs du monde entier : déterminer à partir de quel moment un incident engendre un risque suffisant pour imposer une notification obligatoire. La transparence est devenue un élément central des cadres modernes de protection des données, car une communication rapide permet aux utilisateurs de prendre des mesures préventives avant que des acteurs malveillants ne puissent exploiter des informations compromises.
Sources : A Folha de SP.
