Allo E.Leclerc : la fuite vient d'un prestataire, ce qu'une PME doit vérifier chez les siens

En résumé. Le service Allo E.Leclerc a prévenu certains clients qu'un de ses prestataires logistiques avait été piraté : noms, adresses e-mail et numéros de téléphone sont sortis, sans données bancaires. Pour une PME, l'enseignement n'est pas la marque touchée, c'est le chemin emprunté : un fournisseur suffit à exposer les données que vous lui confiez.

Ce qui s'est passé

Le 26 août 2026, des clients du service Allo E.Leclerc ont reçu une notification de LCommerce, la société qui exploite ce service. Un prestataire logistique externe a subi une intrusion, et les attaquants ont pu accéder à des données clients détenues par ce partenaire. L'information a été relayée le 27 août par Cyberattaque.org, French Breaches et Génération NT.

Trois catégories de données sont confirmées : nom et prénom, adresse e-mail, numéro de téléphone. LCommerce précise que les coordonnées bancaires, les identifiants de connexion et les mots de passe ne sont pas concernés. L'entreprise a notifié la CNIL et prévenu directement les personnes concernées.

Plusieurs éléments restent inconnus à ce stade : le nom du prestataire, la date exacte de l'intrusion, le nombre de clients touchés et le volume de données sorties. Nous nous en tenons donc à ce qui est confirmé.

Suis-je concerné ?

Deux lectures, selon votre situation.

Si vos collaborateurs sont clients du service, le risque est le hameçonnage. Un nom associé à un e-mail et à un numéro de téléphone permet d'écrire un SMS ou un mail crédible au nom d'une enseigne ou d'un transporteur. C'est le scénario classique des semaines qui suivent ce type de fuite.

Si vous dirigez une PME, la question est ailleurs. Vous confiez sans doute des données à des tiers : un prestataire logistique, un cabinet de paie, un éditeur SaaS, un centre d'appels, une agence marketing. Chacun détient une copie de vos fichiers clients ou salariés. Une intrusion chez l'un d'eux vous expose, même si votre propre système d'information tient bon. Beaucoup d'entreprises découvrent au moment de l'incident qu'elles ne savent pas précisément qui détient quoi.

Un indice simple : si vous ne pouvez pas répondre en dix minutes à la question « quels prestataires détiennent aujourd'hui des données personnelles de nos clients ou de nos salariés ? », le sujet mérite une matinée de travail.

Que faire maintenant

1. Dressez la liste de vos prestataires qui détiennent des données. Nom du fournisseur, nature des données, volume approximatif, personne responsable en interne. Le RGPD impose déjà ce registre des sous-traitants, mais il est souvent incomplet ou périmé. Repartez des factures fournisseurs de l'année pour ne rien oublier.

2. Relisez ce que prévoient vos contrats en cas d'incident. Le point clé est le délai de notification : sous combien d'heures votre prestataire s'engage-t-il à vous prévenir, et qui appelez-vous en pratique ? Notez un contact nominatif et un numéro, pas une adresse support générique. Sans cette information, vous perdez les premières heures, celles qui comptent.

3. Préparez vos équipes au hameçonnage par ricochet. Après une fuite chez un tiers, les tentatives arrivent avec de vraies informations, ce qui les rend crédibles. Une règle suffit à couvrir l'essentiel : tout changement de coordonnées bancaires, d'adresse de livraison ou de mot de passe se vérifie par un autre canal, en rappelant un numéro connu. Écrivez la règle, diffusez-la, et faites savoir qu'un doute signalé ne sera jamais reproché.

Si vous êtes concerné par la directive NIS2, ces trois points recoupent directement les exigences sur la sécurité de la chaîne d'approvisionnement. Autant les traiter une fois pour les deux usages.

‍

‍

En bref

Une enseigne solide peut voir des données clients sortir par un prestataire, sans qu'aucune faille ne soit exploitée chez elle. Les données concernées ici sont limitées, mais elles alimentent des campagnes de hameçonnage bien ciblées. Pour une PME, la réponse tient en une liste à jour de ses sous-traitants, des délais de notification écrits noir sur blanc et une règle de vérification connue de tous.

Rien de tout cela ne demande un budget particulier. C'est une matinée de mise à plat, puis une revue une fois par an. Nos équipes peuvent vous aider à cadrer ce travail si vous préférez ne pas le mener seul.

Questions fréquentes

Mon prestataire a été piraté : dois-je le déclarer à la CNIL ? Si les données concernées sont celles de vos clients ou de vos salariés, vous restez responsable de traitement et la notification vous incombe, dans les 72 heures après en avoir pris connaissance, sauf risque négligeable pour les personnes.

Comment savoir si un e-mail reçu après une fuite est frauduleux ? Ne vous fiez pas au contenu, il peut être exact. Vérifiez toujours par un canal indépendant : rappelez un numéro que vous connaissez déjà, ou passez par votre espace client habituel plutôt que par le lien reçu.

Faut-il changer ses mots de passe ? Dans ce cas précis, les mots de passe ne sont pas concernés. Si le même mot de passe sert sur plusieurs services, changez-le malgré tout : c'est la réutilisation qui transforme une petite fuite en incident sérieux.

— Samir Amara, CEO — IT Systèmes