Fuite chez Shipup : de nouvelles enseignes clientes concernées

Un même prestataire, plusieurs enseignes avertissent leurs clients

Shipup fournit aux sites de commerce en ligne des services de suivi après achat : notifications de livraison, pages de suivi et messages liés à l'acheminement des colis. Cette position explique qu'il manipule des coordonnées nécessaires pour contacter les acheteurs après une commande.

Après les alertes déjà documentées chez Micromania et Easypara, Aroma-Zone, Printemps et Citadium ont été ajoutés aux cas rendus publics. Les trois enseignes relient l'incident à un prestataire chargé du suivi des commandes et des livraisons. Citadium appartient au groupe Printemps. Ces notifications confirment que l'événement s'étend à plusieurs marques clientes de Shipup, sans permettre pour autant d'en déduire que toutes les enseignes utilisant ce service sont touchées.

Des accès non autorisés entre le 31 juillet et le 17 août

Aroma-Zone situe les accès non autorisés entre le 31 juillet et le 17 août 2026. La même période est rapportée pour l'incident Shipup concernant Micromania et Easypara. Printemps indique avoir été informé le 20 août et avoir notifié la violation à la CNIL le 25 août.

Selon les éléments rapportés dans les notifications, une vulnérabilité affectant un outil d'analyse du prestataire a été exploitée. Des requêtes ont alors pu être effectuées sur des bases de données et certaines informations téléchargées. French Breaches identifie l'outil en cause comme Metabase et évoque une campagne d'exploitation de vulnérabilités de ce logiciel. Les communications des enseignes citées ici ne nomment pas toutes explicitement ce logiciel : cette précision doit donc rester attribuée à cette source spécialisée.

Les coordonnées de contact, pas les comptes ni les cartes

Pour Aroma-Zone et Printemps, les catégories annoncées sont les noms, prénoms, adresses e-mail et numéros de téléphone lorsqu'ils étaient renseignés. Citadium mentionne également des données d'identification et de contact, mais la liste détaillée et le nombre de personnes concernées ne sont pas publiés.

Aroma-Zone précise que son site, son système d'information et les comptes clients ne sont pas compromis. Elle indique aussi que les mots de passe, l'historique des commandes, les détails de livraison et les données de paiement ne sont pas concernés. Les alertes liées à Micromania décrivent le même type de données. Il ne faut donc pas présenter cette affaire comme une fuite de cartes bancaires ou de mots de passe : les informations disponibles ne le disent pas.

Pourquoi un faux message de livraison devient plus crédible

Un escroc qui connaît le nom, l'e-mail ou le téléphone d'une personne peut lui envoyer un message qui semble moins générique. Dans ce cas, le prétexte est particulièrement simple : un colis bloqué, une adresse à confirmer, une livraison à reprogrammer ou de prétendus frais de quelques euros. Le pirate n'a pas besoin de disposer de la carte bancaire pour tenter de la récupérer ensuite sur un faux site.

Le fait que les données viennent d'un prestataire de suivi ne prouve pas qu'un message précis reçu aujourd'hui vient de cette fuite. En revanche, il rend ce scénario plausible. Un SMS qui connaît votre nom ne démontre pas qu'il est authentique, pas plus qu'un appel d'une personne se présentant comme un transporteur ou le service client.

Le réflexe utile : vérifier le suivi sans utiliser le lien reçu

N'ouvrez pas un lien reçu par SMS ou e-mail pour résoudre un prétendu problème de livraison, même si vous attendez réellement un colis. Ouvrez vous-même l'application ou le site du marchand ou du transporteur, puis consultez le suivi habituel avec votre numéro de commande. Cette vérification coupe le chemin vers les faux sites conçus pour voler une carte bancaire ou des identifiants.

Ne communiquez jamais un code de validation, un mot de passe ou des coordonnées bancaires après un message ou un appel non sollicité. Pour un appel inquiétant, raccrochez et retrouvez le contact officiel de l'enseigne par vos propres moyens. Ces précautions correspondent aux risques liés aux données de contact annoncées, sans prétendre qu'un compte client doit être réinitialisé alors qu'aucun mot de passe exposé n'est signalé.

Ce que nous ne pouvons pas vérifier

Aucun nombre global de personnes touchées n'est communiqué. Nous ne pouvons pas déterminer combien de clients de chaque enseigne ont été concernés, quelles données ont réellement été extraites plutôt que seulement accessibles, ni si d'autres marques utilisatrices de Shipup sont affectées.

L'identité de l'attaquant, le mode d'accès exact et l'étendue complète de la compromission ne sont pas établis par une communication publique commune de Shipup et des enseignes. L'attribution à Metabase et aux vulnérabilités citées par French Breaches est rapportée par cette source spécialisée, tandis que les notifications des enseignes parlent plus généralement d'un outil d'analyse ou d'une faille chez le prestataire.

Sources : French Breaches ↗ · French Breaches ↗ · French Breaches ↗ · French Breaches ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.