Analyste réponse à incident
6 fuites françaises en 48 heures — j’ai relu chaque communiqué, et le vrai coupable n’est jamais l’entreprise citée
TL;DR
- • Les 26 et 27 août 2026, six organisations françaises ont publié une fuite : Allo E.Leclerc, Mistertemp’ group, Journaux.fr, Eusko, Comptoir de Location et WeshBien.
- • Chez Allo E.Leclerc, ce n’est pas le service qui a été piraté mais un prestataire logistique externe. Données touchées : nom, e-mail, téléphone. Ni bancaire, ni mot de passe. Incident notifié à la CNIL.
- • Le nom du prestataire et le nombre de clients concernés n’ont pas été communiqués — comme presque toujours dans ce type de dossier.
- • Aucun profil commun entre les six : un loueur BTP, un réseau social ados, une monnaie locale, un groupe d’intérim. L’argument « nous sommes trop petits » ne survit pas à cette liste.
- • Le point que peu de PME anticipent : quand un tiers perd vos données, c’est votre marque qui encaisse la vague d’hameçonnage, pas la sienne.
Le 27 août 2026, six organisations françaises figuraient au tableau des fuites publiées en quarante-huit heures : Allo E.Leclerc, Mistertemp’ group, Journaux.fr, Eusko, et la veille Comptoir de Location et WeshBien. Un loueur de matériel de BTP, un réseau social pour adolescents, un service de courses, un groupe d’intérim, une plateforme de portage de presse, une monnaie locale basque. Rien ne les rapproche : ni la taille, ni le secteur, ni le budget informatique.
C’est précisément ce qui rend la séquence intéressante. Quand six organisations sans rien de commun tombent dans la même fenêtre, la tentation est de conclure à une série noire. J’ai relu chaque communiqué ligne à ligne. Il y a un point commun, et ce n’est pas celui qu’on attend : dans plusieurs de ces dossiers, l’entreprise dont le nom fait le titre n’est pas celle qui a été piratée.
48 heures, 6 organisations, un seul schéma
Ce que dit exactement le dossier Allo E.Leclerc
Le cas le plus instructif de la vague est aussi le plus discret. L Commerce, la société qui opère le service Allo E.Leclerc, a informé une partie de ses clients qu’un de ses prestataires logistiques externes avait été victime d’un incident de sécurité informatique. Formulation importante : l’incident ne concerne pas les systèmes d’Allo E.Leclerc, mais ceux d’un partenaire utilisé pour ses opérations logistiques.
Les données accessibles sont limitées et l’entreprise le dit sans détour : nom et prénom, adresse e-mail, numéro de téléphone. Les informations bancaires, les identifiants de connexion et les mots de passe ne sont pas concernés. L’incident a été notifié à la CNIL, et les clients ont été invités à la vigilance face aux appels, SMS et courriels suspects. À la date de publication, ni l’identité du prestataire compromis ni le nombre de clients touchés n’avaient été communiqués.
Il faut saluer ce que ce communiqué fait bien : il est rapide, il est précis sur les catégories de données, il ne minimise pas. Beaucoup de dossiers de l’été ont été traités avec moins de rigueur. Mais il laisse intacte la question qui intéresse toute PME qui sous-traite quoi que ce soit : quel prestataire, et pourquoi son nom n’apparaît-il nulle part ?
La phrase à relire deux fois
« Un de nos prestataires logistiques externes. » Du point de vue du client final, cette phrase n’a aucun sens : il n’a jamais contracté avec ce prestataire, il n’a jamais consenti à ce que ses coordonnées y transitent, et il n’a aucun moyen de savoir combien d’autres intermédiaires se trouvent sur le trajet. Du point de vue du droit, elle est parfaitement régulière. C’est exactement l’écart que 2026 aura mis en évidence : la conformité contractuelle et la maîtrise du risque ont cessé de se recouvrir.
Notre avis d’expert n° 1 — la donnée « peu sensible » est devenue la matière première la plus rentable
Nom, e-mail, téléphone. Aucune donnée bancaire, aucun mot de passe. Sur le papier, c’est le scénario le plus bénin de la vague, et beaucoup de dirigeants en concluront qu’il n’appelle pas de réaction. C’est une erreur d’appréciation que je vois se répéter à chaque dossier de ce type.
Un triplet nom + e-mail + téléphone associé à un service identifié n’est pas une donnée générique : c’est une donnée contextualisée. L’attaquant ne sait pas seulement qui vous êtes, il sait que vous êtes client d’un service de courses précis. Cela lui permet de construire un message qui cite le bon commerçant, la bonne commande, le bon canal — et qui franchit sans effort le filtre du bon sens, parce qu’il ne ressemble en rien à un courriel de phishing générique. La valeur d’un fichier ne se mesure pas à la sensibilité de chaque champ pris isolément, mais à la crédibilité qu’il permet d’acheter.
La conséquence opérationnelle est immédiate et souvent négligée : lorsqu’un de vos prestataires perd un fichier de ce type, la vague d’hameçonnage qui suit vise vos clients en votre nom. Ce n’est pas votre système qui est en cause, mais c’est votre marque qui encaisse. Vos équipes support recevront les appels. Personne n’appellera le prestataire logistique : son nom n’a jamais été publié.
Notre avis d’expert n° 2 — « ce n’est pas nous » est juridiquement défendable et commercialement ruineux
La réaction réflexe, quand la faille vient d’un tiers, consiste à le dire. C’est légitime, c’est exact, et c’est insuffisant. Le client n’a pas de relation avec votre prestataire. Il en a une avec vous. Dans son esprit, la chaîne de responsabilité est courte : il vous a confié ses coordonnées, elles se retrouvent dans la nature.
Sur le plan réglementaire, la répartition est claire : la notification incombe à celui chez qui la violation s’est produite, et le donneur d’ordre reste responsable de traitement pour les données qu’il a confiées. Ce qui signifie, très concrètement, que vous devez consigner l’incident dans votre registre interne des violations, évaluer l’impact pour vos clients, et conserver la trace écrite de vos échanges avec le prestataire — même si la notification à l’autorité ne vous incombe pas.
Le point de bascule n’est pas juridique, il est contractuel. La question à se poser avant le prochain incident n’est pas « qui est responsable » mais combien de mes prestataires seraient capables de me répondre en quarante-huit heures : quelles données exactement, pour quels clients, depuis quand, et avec quelles preuves. C’est le raisonnement que nous déroulons dans notre méthode d’audit de sécurité des prestataires tiers, et la cartographie du périmètre au sens NIS2 donne le cadre même pour les entreprises hors périmètre réglementaire.
Le trajet réel d’une donnée client, et l’endroit où elle vous échappe
Vos prestataires savent-ils ce qu’ils détiennent de vous ?
Cartographie des tiers qui hébergent vos données et celles de vos clients, revue des clauses de sous-traitance, test de réactivité sur incident. Nos consultants interviennent sous 48 heures. Téléphone : +33 6 32 64 24 80.
Discutons-en →Notre avis d’expert n° 3 — six dossiers, six tailles différentes, et la fin de l’argument « nous sommes trop petits »
Regardez la composition de la vague. Un réseau social pour adolescents avec 9 396 profils diffusés, dont de nombreux mineurs. Une monnaie locale basque et ses 6 000 adhérents, dont l’attaque avait été détectée dès le 17 août. Un loueur de matériel de BTP dont 13,48 Go et 323 388 fichiers ont été publiés. Une plateforme de portage de presse avec 270 000 données de livraison. Un groupe d’intérim opérant Aquila RH, Lynx RH et Vitalis Médical.
Aucune de ces organisations n’est une cible de prestige. Plusieurs sont exactement du gabarit de la PME française moyenne, avec une association loi 1901 dans le lot. L’argument « nous ne sommes pas assez gros pour intéresser quelqu’un » ne survit pas à cette liste — et il n’a d’ailleurs jamais correspondu à la réalité économique de l’attaquant, qui ne choisit pas ses cibles par notoriété mais par rapport entre la valeur du fichier et l’effort nécessaire pour l’obtenir.
Le cas Eusko mérite une mention particulière : l’attaque a été détectée le 17 août et publiée le 27. Dix jours séparent la détection de la communication. Ce délai n’a rien d’anormal — il faut qualifier, mesurer, notifier, préparer l’information des personnes. Mais il rappelle une chose que les tableaux de bord font oublier : au moment où vous lisez la liste des fuites du jour, les incidents en cours de qualification ne s’y trouvent pas encore. La vague du 27 août décrit l’état du mois d’août, pas celui de la journée.
Cette dépendance non cartographiée est le risque dominant de l’année, et elle ne se limite pas à la logistique. Nous faisons le même constat sur les plateformes d’intelligence artificielle et sur les dépendances logicielles open source. Le composant dangereux est toujours celui dont personne ne tient la liste.
Ce que vous pouvez faire lundi matin, en une demi-journée
Rien de ce qui suit n’exige de budget ni d’outil. C’est de l’inventaire, et l’inventaire est précisément ce qui manquait aux six organisations de cette liste.
- Listez les tiers qui détiennent une copie de votre fichier clients. Croisez trois sources plutôt qu’une : le registre des traitements, les factures fournisseurs des douze derniers mois, et le paramétrage des exports de votre outil de gestion. Le registre seul est toujours incomplet.
- Pour chacun, notez qui est son propre sous-traitant. C’est la case que personne ne remplit, et c’est celle qui a cédé le 27 août. Si votre prestataire ne peut pas répondre en une phrase, vous venez d’identifier votre angle mort.
- Testez le délai de réponse, une fois, à froid. Envoyez un courriel de dix lignes demandant quelles catégories de données ils détiennent pour vous et sous quel délai ils vous notifieraient un incident. La qualité de la réponse vous en apprendra plus qu’un questionnaire de cent items.
- Préparez le message client avant d’en avoir besoin. Un modèle de notification rédigé à froid, relu par quelqu’un qui n’est pas du métier, vous fera gagner les deux jours qui séparent une communication maîtrisée d’une communication subie.
- Prévenez le support de ce qui arrive après. Quand un fichier nom + e-mail + téléphone fuite, la vague d’hameçonnage suit sous quelques jours et cite votre marque. Vos équipes doivent savoir quoi répondre avant le premier appel, pas après le trentième.
Ce que cette vague dit vraiment
Six organisations, quarante-huit heures, aucun profil commun. La lecture paresseuse y voit une mauvaise semaine. La lecture utile y voit une constante : la donnée fuit rarement là où on la surveille. Elle fuit un cran plus loin, chez un intermédiaire qui n’apparaît sur aucun schéma, qui n’a jamais été audité, et dont le nom ne sera même pas publié quand l’incident sortira.
Le travail à faire n’est pas d’acheter un outil de plus. Il est de tenir à jour une liste que la plupart des entreprises croient posséder et qu’aucune ne retrouve le jour où on la leur demande.
Combien d’intermédiaires détiennent votre fichier clients ?
Nous reconstituons la liste réelle des destinataires de vos données, y compris les sous-traitants de second rang, et nous testons leur capacité à répondre en cas d’incident. Livrable en cinq jours ouvrés. Téléphone : +33 6 32 64 24 80.
Discutons-en →Questions fréquentes
Mon entreprise doit-elle notifier la CNIL si la fuite vient de mon prestataire ?
En principe non : la notification incombe au responsable du traitement chez qui la violation s’est produite. Si le prestataire agit comme sous-traitant au sens du RGPD, il doit vous alerter sans délai et c’est à vous, donneur d’ordre et responsable de traitement, qu’il revient d’apprécier la notification à l’autorité. Dans tous les cas vous devez consigner l’incident dans votre registre interne des violations, évaluer le risque pour les personnes concernées, et conserver la trace écrite de vos échanges. La règle pratique : ne décidez jamais de ne pas notifier sans avoir écrit pourquoi.
Nom, e-mail et téléphone : est-ce vraiment grave sans données bancaires ?
C’est moins grave qu’une fuite bancaire, et beaucoup plus grave qu’une fuite anonyme. Ce triplet est associé à un service identifié, ce qui permet de construire un message citant le bon commerçant, la bonne commande et le bon canal. C’est cette contextualisation qui fait franchir au message les filtres du bon sens. Concrètement, attendez-vous à une vague d’hameçonnage par SMS et par téléphone dans les jours qui suivent la publication, ciblant les personnes du fichier et utilisant le nom de la marque à laquelle elles font confiance.
Comment savoir quels sous-traitants de second rang détiennent mes données ?
Vous ne le saurez pas en lisant votre registre : il s’arrête presque toujours au premier rang. Il faut poser la question directement à chaque prestataire, par écrit, et demander la liste de ses propres sous-traitants pour la prestation qui vous concerne. Un contrat de sous-traitance conforme prévoit d’ailleurs cette information et un droit d’objection au changement de sous-traitant ultérieur. En pratique, une PME de cent personnes découvre entre six et douze tiers détenant tout ou partie de son fichier clients, dont deux ou trois absents de tout document interne.
Faut-il changer de prestataire après un incident de ce type ?
Rarement, et rarement tout de suite. Changer ne répare rien : les données déjà exfiltrées le restent, et le successeur héritera du même flux avec une phase de transition qui est elle-même un moment de risque. Le levier utile est documentaire — obtenir le détail des mesures correctives, un engagement de notification sous délai chiffré, et la liste à jour des sous-traitants. Un prestataire qui répond précisément après un incident est souvent plus sûr qu’un concurrent qui n’a simplement pas encore été attaqué.
Source de l’événement : tableau des incidents publié par l’observatoire indépendant cyberattaque.org les 26 et 27 août 2026, et communiqué de la société L Commerce relayé par la presse spécialisée (Génération-NT, KultureGeek, FrenchBreaches) concernant le service Allo E.Leclerc. Les volumes cités — 270 000 données de livraison pour Journaux.fr, 13,48 Go et 323 388 fichiers pour Comptoir de Location, 9 396 profils pour WeshBien, 6 000 adhérents pour Eusko — sont ceux annoncés par les publications d’origine et n’étaient pas confirmés indépendamment à la date de rédaction. Pour Allo E.Leclerc, ni l’identité du prestataire ni le nombre de clients concernés n’avaient été communiqués. Cet article propose une lecture opérationnelle destinée aux dirigeants de PME et ne détaille aucun élément d’exploitation.