Des lingots bien gardés, des fichiers beaucoup moins. Lingor, l’un des principaux négociants français en or physique (lingots, pièces, rachat par kit postal), a confirmé jeudi soir avoir été victime d’une intrusion informatique assortie d’une demande de rançon. L’entreprise a refusé de payer. Sauf que le mal est fait, et il ressemble à s’y méprendre au scénario redouté depuis le piratage de la DGFiP : un fichier de personnes qui détiennent un actif facile à revendre, avec leur adresse, leur identité et leurs coordonnées bancaires. Pour un cambrioleur ou un faux policier, c’est une liste de courses.
Cyberattaque Lingor : ce que les pirates ont emporté
L’intrusion a été détectée le 26 août, quand les attaquants ont contacté directement l’entreprise pour réclamer une rançon. Le lendemain à 18h, Lingor a commencé à prévenir ses clients un par un, par courriel. Le texte de ce message, reproduit par FrenchBreaches le 27 août, distingue deux périmètres. Pour les acheteurs des boutiques en ligne (lingor.fr et monlingot.fr), les données concernées sont « nom, prénom, adresse de livraison, adresse de facturation, adresse e-mail, numéro de téléphone, numéro de commande, nature des articles achetés, quantité des articles, montant de la transaction, date de la transaction ». Autrement dit, qui a acheté quoi, pour combien, et où ça a été livré.
Le second périmètre fait plus mal. Les clients qui ont utilisé le kit postal de rachat, ce service où l’on expédie son or pour se le faire racheter, avaient dû fournir une copie de leur pièce d’identité, un justificatif de domicile et un RIB avec IBAN pour recevoir le paiement. Tout cela a potentiellement fuité. Seule consolation, et elle est mince, les numéros de carte bancaire sont traités par un prestataire externe et ne sont pas concernés. Le nombre de clients touchés n’a pas été communiqué. Lingor dit avoir sécurisé les accès compromis, confié l’enquête à un prestataire spécialisé, notifié la CNIL et déposé plainte. Le site lingor.fr, lui, ne mentionne aucun incident à cette heure, à part un numéro de téléphone « indisponible en raison d’un incident technique ».
Quiconque suit l’actualité des crypto-rapts en France reconnaîtra la mécanique. Depuis 2024, les enlèvements et home-jackings visant des détenteurs de cryptomonnaies s’appuient presque toujours sur une fuite de données en amont, qu’elle vienne de Ledger, de Coinmama ou de l’administration fiscale elle-même. L’or physique coche exactement les mêmes cases, avec un inconvénient supplémentaire. Un wallet, on peut le vider à distance ou le protéger par un multisig. Un lingot d’un kilo, il est dans un placard, à l’adresse de livraison que les pirates ont maintenant sous les yeux.
Lingor le sait d’ailleurs très bien. Son message aux clients liste les risques de « phishing ciblé, d’usurpation d’identité ou de fraude bancaire et administrative », et recommande d’ignorer toute visite à domicile de personnes prétendant vérifier des avoirs. Personne, chez Lingor, n’a besoin qu’on lui dessine le scénario. Avec une pièce d’identité, un justificatif de domicile et un IBAN, un fraudeur monte un dossier de crédit à la consommation en une après-midi. Avec l’historique de commandes, il sait à quelle porte frapper. Et à quel montant s’attendre.
L’épisode arrive au terme d’un été particulièrement chargé pour les fuites de données françaises, avec des organisations touchées par lots entiers certains jours. Les négociants en métaux précieux, qui collectent par obligation légale (lutte anti-blanchiment) des justificatifs d’identité pour chaque transaction au-delà de certains seuils, deviennent mécaniquement des coffres-forts de données personnelles. Un coffre-fort, ça se braque aussi.
Client Lingor : les réflexes à avoir dès maintenant
Si vous avez commandé sur lingor.fr ou monlingot.fr, ou surtout utilisé le kit postal de rachat, partez du principe que vos données circulent. Surveillez vos relevés bancaires et signalez tout prélèvement inconnu. Méfiez-vous des appels ou courriels se présentant comme Lingor, votre banque ou la police, même s’ils citent vos vraies commandes : c’est justement ce qui rend l’hameçonnage crédible. Vous pouvez aussi demander une opposition administrative sur votre pièce d’identité et, si votre or est stocké chez vous, reconsidérer cette option.
