Cybersecurite
Cyberattaque : des données clients Carrefour compromises
Carrefour a prévenu par courrier une partie de ses clients qu'un piratage chez son prestataire logistique Shipup a exposé leurs coordonnées personnelles, sans compromettre de mot de passe ni de coordonnées bancaires.
Par Mila · rédaction IA
Fin septembre 2026, l'enseigne Carrefour a prévenu ses clients d'un incident de sécurité touchant un prestataire technique, attribué à la société Shipup par FrenchBreaches d'après les informations rapportées par 01net.
Les coordonnées dérobées permettent aux cybercriminels de diffuser des messages de phishing ciblés sous le prétexte de fausses notifications de commande. Les clients concernés doivent redoubler d'attention face à tout SMS ou courriel inhabituel lié à une livraison.
Le prestataire Shipup subit une intrusion externe
L'enseigne Carrefour a alerté individuellement une partie de sa clientèle après la détection d'un accès non autorisé chez un tiers technique. Le distributeur a précisé dans sa notification que ses propres serveurs n'ont subi aucune intrusion directe et que les comptes des utilisateurs restent intacts. Selon les éléments techniques relayés par 01net, la source de l'incident se situe chez la société française Shipup, spécialiste du suivi de colis et des notifications après achat pour plus de 700 marques. Les données compromises regroupent les noms, prénoms, adresses e-mail et numéros de téléphone des destinataires de commandes. Les mots de passe et les données bancaires demeurent totalement hors d'atteinte. Pour les acheteurs concernés, la vigilance immédiate s'impose face aux messages électroniques ou téléphoniques prétendant assurer le suivi d'un colis.
Une faille Metabase permet l'extraction de fichiers
L'attaque contre le prestataire logistique s'inscrit dans une campagne globale visant l'application d'analyse Metabase. Cette solution logicielle, très répandue au sein des entreprises pour le traitement de bases d'informations, comportait une faille critique. Cette brèche logicielle permettait à un attaquant distant d'exécuter du code et de prélever des enregistrements sans aucune étape d'authentification préalable. En exploitant ce défaut sur l'infrastructure non corrigée du sous-traitant, les intrus ont pu copier les listes de contacts associées aux envois récents. Ce mode opératoire illustre la dépendance des distributeurs envers des briques logicielles tierces qui échappent à leur supervision directe. Tout responsable informatique doit désormais exiger de ses partenaires des garanties formelles sur l'application immédiate des correctifs de sécurité afin de bloquer les accès non authentifiés.
Plusieurs grandes marques partagent la même exposition
Carrefour n'est pas la seule enseigne touchée par cette violation en chaîne. Le média spécialisé FrenchBreaches a relevé que d'autres acteurs du commerce en ligne, notamment Micromania, Citadium, Printemps, Aroma-Zone et Easypara, ont subi une fuite de données similaire liée au même prestataire. Cette répétition met en lumière la fragilité des écosystèmes interconnectés, où une unique faille chez un intermédiaire compromet des millions de fiches réparties entre plusieurs dizaines de sociétés. Les chiffres du 3e baromètre Cybermalveillance-Ipsos indiquent d'ailleurs que 45 % des Français déclarent avoir reçu un avis de compromission en 2026, contre 30 % l'année précédente. Pour les organisations, la sélection d'un prestataire impose désormais une revue technique des outils d'analyse hébergés afin d'isoler hermétiquement les données des clients finaux.
Les escroqueries à la fausse livraison menacent
Les données dérobées n'offrent pas d'accès direct aux comptes bancaires mais fournissent le matériel idéal pour des attaques d'ingénierie sociale. Disposant du patronyme exact, du numéro de téléphone et de l'adresse de messagerie, des fraudeurs peuvent fabriquer des courriels et des SMS imitant à la perfection les alertes de suivi d'expédition de Carrefour. Les criminels exploitent fréquemment l'annonce d'une commande bloquée ou la demande d'un règlement d'appoint pour soutirer des identifiants bancaires par hameçonnage. Carrefour recommande formellement de rejeter tout lien sollicitant un paiement ou la saisie d'un mot de passe dans un contexte d'urgence. Tout usager doit dorénavant se connecter uniquement depuis l'application officielle ou en tapant manuellement l'adresse du site dans son navigateur pour vérifier l'état effectif d'un colis.
- 45 % des Français déclarent avoir été informés d'une fuite de leurs données personnelles en 2026 3ᵉ baromètre Cybermalveillance-Ipsos 2026
Cet incident ne concerne pas directement les systèmes informatiques de Carrefour et aucun élément porté à notre connaissance n’indique que votre compte Carrefour ait été compromis
Carrefour n'a communiqué ni le volume précis de clients affectés ni le nom de son sous-traitant dans son courrier, laissant les usagers sans visibilité sur l'ampleur exacte de la compromission.
Pour un indépendant ou une petite boutique en ligne utilisant des modules de suivi de livraison ou des outils comme Metabase, l'obligation immédiate consiste à appliquer sans délai les mises à jour de sécurité et à auditer les autorisations d'accès sans mot de passe sur ses serveurs.
Mes coordonnées bancaires ou mes mots de passe ont-ils été dérobés ?
Non. Les informations compromises se limitent aux noms, prénoms, adresses e-mail et numéros de téléphone. Aucun mot de passe ni identifiant bancaire n'a été exposé lors de l'incident.
Comment reconnaître les arnaques liées à cette fuite ?
Méfiez-vous de tout SMS ou courriel prétendant qu'un colis Carrefour est en attente ou réclamant un paiement d'urgence. Consultez directement votre espace client habituel sans cliquer sur les liens reçus.
- Les serveurs et les comptes internes de Carrefour ne sont pas directement piratés.
- La violation provient du prestataire Shipup via une vulnérabilité critique sur Metabase.
- Les données exposées (noms, e-mails, téléphones) augmentent le risque d'escroqueries par SMS ou courriel.