Vous est-il déjà arrivé de recevoir un appel bizarre, genre quelqu’un qui connaît déjà votre nom, votre adresse et qui tente de vous vendre quelque chose d’un peu trop personnel ? Moi, oui. Et depuis quelques jours, des centaines de milliers de clients d’une grande enseigne de bricolage risquent de vivre exactement ça, voire pire.
Une cyberattaque d’envergure vient de frapper l’un des leaders du secteur. Et même si l’entreprise assure que les données bancaires et les mots de passe sont intactes, ce qui a été volé n’est pas anodin pour autant. Loin de là.
Une brèche qui touche plusieurs centaines de milliers de personnes
Concrètement, les pirates ont mis la main sur ce qu’on appelle les données de contact liées aux cartes de fidélité. Ça veut dire : nom, prénom, numéro de téléphone, adresse e-mail et, cerise sur le gâteau, l’adresse postale complète. Autrement dit, tout ce qu’il faut pour vous retrouver dans la vraie vie ou vous harceler en ligne.
Je ne vais pas vous faire un dessin : avec ces informations, un escroc un peu malin peut monter des arnaques ultra-ciblées. Un faux conseiller qui vous appelle en connaissant déjà votre dernière commande de peinture ou de vis placo, ça fait tout de suite plus crédible, non ? C’est exactement le genre de scénario qui donne des sueurs froides aux experts en cybersécurité.
Ce qui a été volé précisément (et ce qui ne l’a pas été)
Pour être parfaitement clair, voici le bilan actuel :
- Nom et prénom : volés
- Numéro de téléphone portable : volé
- Adresse e-mail : volée
- Adresse postale complète : volée
- Mot de passe du compte client : intact
- Données bancaires (CB, RIB) : intactes
Sur le papier, on pourrait se dire « ouf, pas de carte bleue ». Mais franchement, dans la vraie vie, c’est presque pire. Parce que les informations dérobées sont celles qui permettent de vous identifier précisément et de vous approcher avec une fausse légitimité.
Une adresse postale + un numéro de téléphone + un historique d’achat, c’est de l’or pour les escrocs. Ils peuvent monter des attaques de type « vishing » (phishing vocal) ultra convaincantes.
D’après un spécialiste en cybersécurité que j’ai pu consulter
Pourquoi ce n’est pas « juste » une fuite de plus
On a tendance à se dire qu’on voit ça tous les mois, une entreprise qui se fait pirater. Sauf que là, on parle d’une enseigne où quasiment toutes les familles françaises ont une carte de fidélité. Moi le premier. Et vous probablement aussi.
Le volume est énorme. On parle de plusieurs centaines de milliers de personnes touchées. Peut-être même plus, les investigations sont encore en cours. Et ce qui me gêne particulièrement, c’est que ce type de données était censé être mieux protégé depuis l’entrée en vigueur du RGPD il y a déjà sept ans.
Apparemment, non.
Les risques concrets pour vous, maintenant
Alors oui, personne ne va vider votre compte en banque demain matin avec ces données. Mais voici ce qui peut arriver dans les prochaines semaines ou mois :
- Explosion des appels et SMS frauduleux ultra-ciblés (« Bonjour Monsieur Dupont, on a vu que vous aviez acheté une perceuse le mois dernier… »)
- Campagnes de phishing par mail parfaitement personnalisées
- Usurpation d’identité pour souscrire des crédits ou ouvrir des comptes à votre nom
- Vente de vos coordonnées sur le dark web (déjà en cours, probablement)
- Harcèlement physique dans les cas les plus extrêmes (ça arrive, malheureusement)
J’ai vu des cas où des personnes recevaient des courriers recommandés bidons à leur domicile, avec des menaces de saisie, juste parce que leur adresse avait fuité dans une brèche similaire. C’est rare, mais ça existe.
Ce que l’entreprise a fait (et ce qu’elle aurait peut-être dû faire avant)
L’enseigne a réagi assez rapidement : les clients concernés ont été prévenus individuellement, une plainte a été déposée et la Cnil a été informée. Jusque-là, c’est la procédure classique.
Mais soyons honnêtes : quand on arrive au stade où on doit prévenir des centaines de milliers de personnes, c’est que quelque chose a déjà gravement dysfonctionné en amont. La question que tout le monde se pose maintenant, c’est : comment une entreprise de cette taille a pu se faire avoir sur des données aussi basiques ?
Parce que stocker des adresses postales en clair ou mal chiffrées en 2025, franchement, c’est un peu comme laisser les clés sur la porte d’entrée.
Et ce n’est pas un cas isolé dans le groupe
Ce qui rend l’histoire encore plus inquiétante, c’est que ce n’est pas la première fois que le groupe familial auquel appartient l’enseigne fait face à des attaques de grande ampleur. D’autres enseignes du même univers ont déjà été touchées ces derniers mois et années. On peut légitimement se demander si la sécurité informatique est vraiment une priorité au niveau du groupe.
Ou si, comme dans beaucoup de grandes structures, on a privilégié le développement commercial au détriment de la cybersécurité. C’est une tendance que je constate malheureusement trop souvent.
Que faire si vous êtes concerné (actions concrètes)
Si vous avez reçu un mail ou un SMS de l’enseigne vous informant que vos données font partie des fichiers volés, voici ce que je vous conseille de faire dès aujourd’hui :
- Changez immédiatement votre adresse e-mail principale si elle était utilisée pour votre compte fidélité (et activez l’authentification à deux facteurs partout où c’est possible)
- Ne répondez à aucun appel ou message suspect, même s’il semble venir de l’enseigne
- Soyez particulièrement vigilant sur vos colis et courriers pendant quelques mois
- Inscrivez-vous sur les listes anti-prospection (Bloctel pour le téléphone)
- Surveillez votre boîte aux lettres et signalez tout courrier douteux
- Pensez à geler votre cote de crédit si vous avez peur d’une usurpation d’identité (possible via certaines banques)
Et surtout, ne cliquez sur aucun lien reçu par mail ou SMS, même s’il semble provenir de l’enseigne. Allez toujours directement sur le site officiel en tapant l’adresse vous-même.
Une tendance qui s’aggrave dramatiquement
Ce qui me frappe le plus dans cette affaire, c’est qu’elle s’inscrit dans une tendance lourde. Le nombre de violations de données touchant plus d’un million de personnes a purement et simplement doublé en un an. On est passé d’une vingtaine à une quarantaine de méga-fuites par an.
Et on ne parle là que des cas déclarés. Combien de brèches restent dans l’ombre ? Probablement beaucoup.
Dans ce contexte, on peut se demander si nos données personnelles ont encore la moindre valeur aux yeux des entreprises qui les collectent. Parce que clairement, la course à la carte de fidélité, aux points, aux réductions, a un coût. Et ce coût, c’est nous qui le payons maintenant.
Le mot de la fin : reprenez le contrôle
Cette cyberattaque n’est pas la plus grave de l’histoire en termes de données financières volées. Mais elle est symptomatique d’un problème bien plus profond : nous avons confié nos informations personnelles à des centaines d’entreprises en échange de quelques euros de réduction, et aujourd’hui, nous en payons le prix.
Peut-être que c’est le moment de faire le ménage dans vos cartes de fidélité. De vous demander si ces 3 % de remise valent vraiment le risque que quelqu’un connaisse votre adresse exacte et votre numéro de téléphone demain.
Personnellement, j’ai déjà commencé à supprimer les comptes que je n’utilise plus. Et vous ?
Parce qu’au final, la meilleure protection, c’est encore de limiter ce qu’on laisse traîner sur internet et dans les bases de données des grandes enseignes. Le reste, c’est du pansement sur une jambe de bois.
