I dati personali di oltre 430mila clienti di una delle più note farmacie online francesi sono stati messi in vendita su un forum frequentato da cybercriminali. A denunciarlo è il sito specializzato frenchbreaches.com, secondo il quale giovedì 12 novembre un hacker che si firma con lo pseudonimo «Bonjour» ha pubblicato un annuncio nel quale offre una banca dati sottratta a lasante.net, portale di e-commerce farmaceutico tra i pionieri della vendita online di medicinali senza ricetta in Francia. La società che gestisce la piattaforma ha confermato l’autenticità delle informazioni messe in vendita, precisando tuttavia che non si tratta di un nuovo attacco informatico ma della riproposizione di dati trafugati nel luglio scorso.
A riferire la vicenda è Le Quotidien du pharmacien, che riporta le dichiarazioni della direzione di lasante.net. Secondo frenchbreaches.com, il database offerto sul mercato clandestino conterrebbe 430.556 record, un volume considerevole di informazioni personali. Non è però ancora possibile stabilire quante siano effettivamente le persone coinvolte, perché a un singolo cliente potrebbero corrispondere più registrazioni.
L’origine della fuga di dati risale al luglio scorso, quando lasante.net aveva subito un’intrusione nei propri sistemi informatici. Il 27 luglio la società aveva comunicato ai clienti che un soggetto non autorizzato aveva avuto accesso ad alcune informazioni personali conservate dalla piattaforma, tra cui nomi, indirizzi, email, identificativi e preferenze associate ai profili degli utenti. Non erano invece risultati coinvolti dati relativi ai pagamenti.
«L’accesso è stato bloccato non appena individuato, l’incidente è stato notificato alla Commission nationale de l’informatique et des libertés (Cnil, l’autorità francese per la protezione dei dati personali) e i clienti interessati sono stati informati a suo tempo, conformemente ai nostri obblighi» ha dichiarato Romain Loyson, direttore del portale. «Da allora non si sono verificate nuove intrusioni e la sicurezza della piattaforma è stata rafforzata. Non sono coinvolti dati bancari e il sito non conserva né prescrizioni mediche né numeri di previdenza sociale».
Lasante.net è uno dei nomi storici dell’e-commerce farmaceutico francese. Il portale nasce nel 2012 per iniziativa del farmacista titolare Cyril Têtard ed è collegato alla Pharmacie du Bizet di Villeneuve-d’Ascq, nel nord della Francia. Tra il 2022 e il 2023 è entrato nell’orbita del gruppo Hygie31, che ne ha acquisito il controllo inserendolo nel proprio portafoglio digitale accanto ad altre piattaforme di e-commerce, come parapharmacielafayette.com e cocooncenter.com. La gestione tecnica, logistica e commerciale è affidata a Hygie31 Digital.
La ricomparsa dei dati sottratti a luglio apre ora un nuovo fronte per la società, quello della loro commercializzazione sui circuiti criminali. «Non commenteremo le rivendicazioni di un venditore anonimo» ha precisato Loyson. «La messa in vendita di questi dati è ormai una questione affidata ai nostri consulenti legali e alle autorità di polizia, che abbiamo già interessato».
La vicenda richiama l’attenzione sui rischi informatici cui sono esposte anche le farmacie che operano nell’e-commerce. La violazione di una banca dati può infatti produrre conseguenze a distanza di mesi dall’intrusione originaria: informazioni personali già sottratte possono essere rivendute, diffuse o utilizzate per tentativi di phishing e altre frodi. E anche quando, come in questo caso, non risultano compromessi dati bancari o prescrizioni mediche, la disponibilità di nomi, recapiti e informazioni sulle preferenze dei clienti rappresenta comunque un patrimonio potenzialmente prezioso per i cybercriminali.
