Trois enseignes tombées par un prestataire qu’elles n’avaient pas audité — les 4 questions que je pose désormais avant toute signature

Trois enseignes françaises ont écrit à leurs clients à quelques jours d’intervalle pour leur annoncer la même chose : une partie de leurs données personnelles avait été consultée et extraite. Printemps, Citadium, Aroma-Zone. Trois marques sans lien capitalistique, trois systèmes d’information distincts, trois équipes techniques différentes.

Et pourtant une seule cause. Aucune des trois n’a été piratée. Le point d’entrée était Shipup, le prestataire qu’elles utilisent toutes les trois pour gérer le suivi de livraison et les notifications d’expédition envoyées à leurs clients.

C’est exactement le scénario que la plupart des dirigeants de PME écartent quand nous le présentons en audit, avec une phrase que nous entendons toutes les semaines : « nous, on est bien protégés ». C’est probablement vrai. Et c’est complètement hors sujet.

Ce qui s’est réellement passé, dans l’ordre

Les faits publics, tels qu’ils ressortent des notifications adressées aux clients et de la couverture qui a suivi le 8 septembre 2026, dessinent une chaîne très banale — et c’est précisément ce qui la rend instructive.

Shipup a été victime d’une cyberattaque visant l’un de ses outils internes. La brèche exploitée n’était pas dans le produit vendu aux enseignes : elle se trouvait dans une vulnérabilité critique affectant Metabase, un logiciel tiers d’exploration et de visualisation de données très répandu dans les équipes produit et data.

Les accès frauduleux se sont déroulés entre le 31 juillet et le 17 août 2026. Citadium indique avoir été informé de l’incident le 20 août. Les messages d’information aux clients finaux, eux, sont partis à partir du 4 septembre. Les données concernées sont des noms, prénoms, adresses e-mail et numéros de téléphone liés au suivi de commande ; Printemps précise ne pas avoir constaté de mot de passe, de donnée bancaire ni d’information de paiement parmi les éléments touchés.

Sources : Printemps, Citadium et Aroma-Zone sur cyberattaque.org.

Pourquoi un SI intact ne vous protège plus

Le point que nous voulons faire passer est simple, et il déplaît. Les systèmes d’information de Printemps, Citadium et Aroma-Zone n’ont pas été compromis. Leurs pare-feux ont tenu, leurs postes n’ont pas été chiffrés, leurs comptes d’administration n’ont pas été volés. Un audit technique de leur périmètre mené le 18 août n’aurait probablement rien signalé.

La donnée, elle, était déjà partie. Parce qu’elle ne se trouvait plus chez eux au moment où elle a été prise.

C’est le déplacement structurel que beaucoup d’organisations n’ont pas encore intégré : à mesure que l’on externalise le paiement, la logistique, la relation client, l’emailing, le support et l’analytique, la surface d’attaque migre vers des tiers sur lesquels on n’a aucune visibilité technique. Le périmètre que l’on protège n’est plus celui qui détient les données.

Une PME de cinquante personnes travaille couramment avec quinze à trente prestataires qui manipulent, à un titre ou à un autre, des données de clients ou de salariés. La question utile n’est pas « sommes-nous bien protégés » mais « combien de portes avons-nous ouvertes, et savons-nous seulement les nommer ». C’est le premier livrable que nous produisons, et le point de départ de toute cartographie du système d’information sérieuse.

Les 4 questions que nous posons désormais avant toute signature

Nous avons repris notre grille d’évaluation fournisseur après cet épisode. Elle comptait beaucoup de cases. Elle en compte maintenant quatre qui décident, et le reste est documentaire.

1. Quels outils internes accèdent à nos données, nommément ?

Pas « nos équipes habilitées ». La liste des logiciels : outil de BI, gestionnaire de tickets, plateforme de logs, environnement de test. Un prestataire capable de vous rendre cette liste en deux jours a une gouvernance. Un prestataire qui répond par une généralité ne connaît pas sa propre surface d’exposition, et ne pourra donc pas vous prévenir vite.

2. Sous combien d’heures nous prévenez-vous, et à quelle adresse ?

Le RGPD impose au responsable de traitement une notification à la CNIL sous 72 heures. Or ce délai court à partir du moment où vous avez connaissance de la violation. Si votre sous-traitant met trois semaines à vous informer, vous êtes en règle sur le papier et indéfendable auprès de vos clients. Exigez un délai chiffré — 24 heures — et une adresse de contact nommée, inscrits noir sur blanc, comme le prévoit l’article 28 du RGPD.

3. Quelles données détenez-vous exactement, et pendant combien de temps ?

Beaucoup d’entreprises découvrent le contenu réel de la base de leur prestataire le jour de la fuite. Un outil de suivi de livraison n’a besoin ni de l’historique d’achat complet, ni du contenu du panier, ni d’un identifiant client interne réutilisé ailleurs. Demandez la liste des champs et la durée de conservation ; la réduction du périmètre transmis est la seule mesure qui diminue l’impact d’un incident que vous ne contrôlez pas.

4. Comment sauriez-vous que vous êtes compromis ?

La question qui trie le plus vite. On ne demande pas s’ils sont certifiés : on demande quel événement déclencherait une alerte, qui la reçoit, et à quelle heure de la nuit. Une réponse qui décrit une journalisation, un seuil et une astreinte est une capacité de détection. Une réponse qui cite un référentiel est une intention.

Ce que nous ferions cette semaine à votre place

Trois actions, dans cet ordre, réalisables sans budget spécifique.

• Sortez la liste de vos prélèvements. Le service comptable produit en une heure la liste des abonnements logiciels payés. C’est l’inventaire le plus honnête de vos prestataires, et il contient toujours des noms que la direction technique ignore.
• Pour les cinq premiers, retrouvez le délai de notification contractuel. S’il est absent ou formulé en « meilleurs délais », vous avez identifié votre exposition réelle sans avoir besoin d’un audit.
• Préparez le message client avant d’en avoir besoin. Les enseignes qui s’en sortent le mieux sont celles qui ont notifié vite et clairement. Un modèle rédigé à froid vaut mieux qu’un arbitrage juridique un vendredi soir.

L’épisode Shipup n’a rien d’exceptionnel sur le plan technique, et c’est bien pour cela qu’il faut le regarder. Une vulnérabilité dans un logiciel tiers, un outil interne exposé, dix-huit jours d’accès, et trois marques qui découvrent qu’elles partageaient un point de défaillance commun sans l’avoir jamais cartographié. Rien dans cette chaîne n’exige un attaquant sophistiqué. Tout, en revanche, aurait été visible sur un tableau à quatre colonnes.