Sears a laissé les conversations de ses clients avec un chatbot IA accessibles à tout internaute

Le distributeur américain Sears a subi une grave fuite de données : les conversations de ses clients avec son chatbot IA d'entreprise, y compris des enregistrements d'appels téléphoniques et des échanges écrits, se sont retrouvées accessibles publiquement sur internet. N'importe qui pouvait les consulter sans s'authentifier et sans compétences techniques particulières.

Selon une enquête de Wired, ce n'étaient pas de simples journaux techniques qui étaient exposés. Les conversations contenaient les noms des clients, leurs coordonnées, leurs adresses e-mail et des détails précis sur leurs achats : date de l'achat, produit concerné, problèmes rencontrés. C'est exactement le type d'informations dont raffolent les escrocs : en connaissant le nom d'une personne, le produit qu'elle a acheté et le moment où elle a contacté le support, un attaquant peut construire un scénario de phishing convaincant.

L'attaque se déroule ainsi : un escroc appelle un client de Sears et se fait passer pour un employé de l'entreprise. « Bonjour, Maria. Nous vous appelons au sujet de votre commande de réfrigérateur du 12 avril : un problème est survenu avec la livraison. » La personne ne se méfie pas : les informations correspondent dans les moindres détails. Vient ensuite la demande de confirmer des données de paiement, de payer une « nouvelle livraison » ou de cliquer sur un lien pour « confirmer l'adresse ». Ce scénario s'appelle le hameçonnage ciblé (spear phishing) ; il est bien plus efficace que les envois de masse précisément parce qu'il exploite les données personnelles réelles de la victime.

L'incident Sears n'est pas un cas isolé, mais le symptôme d'un problème systémique. À mesure que distributeurs, banques et entreprises de services déploient massivement des chatbots IA pour servir leurs clients, le volume de données personnelles que ces systèmes collectent et conservent augmente rapidement. Les chatbots actuels mènent de vraies conversations, se souviennent du contexte des demandes précédentes et ont accès à l'historique des commandes. Cela en fait des outils de support utiles et, en même temps, des points de risque dangereux lorsque le stockage des données est mal configuré.

Sur le plan de la sécurité, les journaux de conversations avec des chatbots ont une valeur particulière pour les attaquants, pour plusieurs raisons. Les clients parlent franchement aux bots et décrivent leurs problèmes avec des détails qu'ils ne confieraient pas à un inconnu. Les données sont structurées et faciles à traiter : nom, date, type de demande forment un profil prêt pour l'attaque. Enfin, les utilisateurs ne s'attendent pas à ce que leur échange technique avec un bot puisse devenir public et ne sont pas aussi prudents que lorsqu'ils remplissent des formulaires officiels.

La réaction de Sears à l'incident restait inconnue au moment de la publication. L'entreprise traverse une période difficile : ancien plus grand distributeur américain, elle a été réduite à une petite enseigne après des années de difficultés financières et une faillite en 2018. Adopter des outils d'IA pour réduire les coûts du support s'inscrit logiquement dans une stratégie de survie, mais économiser sur la sécurité des données crée des risques qui peuvent coûter bien plus cher.

Ce cas soulève une question plus large : les entreprises sont-elles prêtes à déployer de façon responsable des systèmes d'IA qui manipulent des données sensibles ? Dans l'UE, l'AI Act, avec ses exigences d'évaluation des risques, est déjà en vigueur. Aux États-Unis, la FTC poursuit systématiquement les entreprises qui protègent mal les données des consommateurs, et des fuites de cette ampleur relèvent clairement de son champ d'intérêt.

Pour les utilisateurs ordinaires, la conclusion est simple : un appel inattendu d'une personne qui en sait trop sur vos achats peut ne pas être une coïncidence, mais la conséquence directe d'une fuite dont personne ne vous a prévenu.