Carrefour informe une partie de ses clients qu’un « incident de sécurité » chez l’un de ses prestataires a exposé leurs noms, prénoms, adresses email et numéros de téléphone. Le distributeur affirme qu’aucun mot de passe ni aucune donnée bancaire n’est concerné. Il ne dit pas combien de clients sont touchés, ni de quel prestataire il s’agit.
Quel prestataire est en cause
Carrefour ne le nomme pas. Le site Cyberattaque.org, par recoupements, et le site de veille FrenchBreaches, cité par Tom’s Guide, l’attribuent à Shipup, une plateforme française de suivi de colis et de notifications après achat utilisée par plus de 700 marques. Cette attribution n’est pas confirmée officiellement par Carrefour.
Plusieurs autres enseignes ont envoyé des messages très proches dans les semaines précédentes : Printemps, Citadium, Aroma-Zone, Micromania et Easypara, selon Cyberattaque.org et Tom’s Guide. Easypara évoque par exemple un accès non autorisé chez son prestataire de suivi de livraisons. Pour les incidents Shipup déjà documentés, l’accès non autorisé aurait eu lieu du 31 juillet au 17 août 2026 ; Carrefour, lui, ne donne aucune période.
Une faille Metabase à l’origine
D’après Cyberattaque.org, l’intrusion chez le prestataire passe par une faille critique de Metabase, un logiciel open source de tableaux de bord, référencée CVE-2026-72898. Elle permet à un attaquant distant, sans authentification, de prendre le contrôle d’une instance vulnérable. Début septembre, une faille de Metabase auto-hébergé avait déjà permis la fuite de plus d’un million de comptes chez la plateforme éducative australienne Mathspace.
Le scénario est typique des fuites par ricochet : l’enseigne n’est pas piratée elle-même, mais un outil d’analyse branché sur les données de livraison de ses clients l’est chez un sous-traitant.
Quelles données ont fuité
| Donnée | Concernée ? |
|---|---|
| Nom et prénom | Oui |
| Adresse email | Oui |
| Numéro de téléphone | Oui |
| Mot de passe | Non, selon Carrefour |
| Données bancaires | Non, selon Carrefour |
Le vrai risque : les faux messages de livraison
Ces données suffisent pour des arnaques très crédibles. Un fraudeur sait que vous êtes client de Carrefour, connaît votre nom et peut vous écrire par SMS ou email : colis bloqué, frais de réexpédition à régler, remboursement à valider. Le lien mène alors vers une fausse page qui demande votre carte bancaire.
Carrefour ou un transporteur ne vous demandera jamais de payer des frais de livraison ou de saisir votre carte par un lien reçu par SMS. Dans le doute, suivez votre commande uniquement depuis l’application ou le site officiel.
Que faire si vous êtes concerné
- Vérifiez vos emails, y compris les indésirables, à la recherche d’un message de Carrefour ou d’une autre enseigne citant un incident chez un prestataire.
- Ne cliquez pas sur les liens des SMS ou emails inattendus parlant de colis, de livraison ou de remboursement, même si vous attendez réellement une commande.
- N’appelez pas un numéro reçu par message : utilisez celui du site officiel.
- Transférez les SMS frauduleux au 33700 et les emails suspects à Signal Spam.
- Si vous avez saisi vos coordonnées bancaires après avoir cliqué, contactez immédiatement votre banque.