Kiabi, Relais Colis, ManoMano, Basic-Fit, Florajet, Alinto-Carrefour… depuis début janvier 2026, les enseignes françaises encaissent les cyber attaques à un rythme qui n’a plus rien d’exceptionnel. La menace s’est banalisée. Et c’est précisément le problème.
La nouvelle année avait à peine commencé que la liste des victimes s’allongeait déjà. Le 7 janvier, Kiabi détecte une attaque par credentialstuffing (type d’attaque où un pirate utilise des identifiants [email + mot de passe] volés sur un site pour essayer de se connecter automatiquement à d’autres sites, ndlr) sur son site de seconde main. Les pirates ont exploité les identifiants issus de fuites de données d’autres sites pour tenter d’accéder aux comptes clients, avec pour résultat la compromission de 20 000 comptes et l’exposition de noms, prénoms, dates de naissance, adresses postales et IBAN. L’enseigne s’empresse de masquer les IBAN et de réinitialiser les mots de passe. Mais pour les clients concernés, le mal est fait. Quelques jours à peine plus tôt, Showroomprivé avait subi exactement le même type d’attaque. Le hacker éthique Clément Domingo suspecte que cet acte malveillant ait été mené par les mêmes cybercriminels ayant compromis les données clients de Kiabi.
Deux enseignes majeures du e-commerce, même technique, même timing : les attaquants opèrent désormais en série, comme une ligne de production. Puis, le 16 janvier, c’est Relais Colis qui confirme à son tour avoir été touché, via un prestataire technique. Près de 10 millions de données personnelles, noms, prénoms, adresses mail et numéros de téléphone, ont été aspirées. La réaction de l’enseigne de livraison aurait pu s’arrêter là. Mais elle s’est transformée en cas d’école pour toutes les mauvaises raisons : en envoyant son mail d’alerte, le service communication a oublié d’utiliser la copie cachée, exposant en clair des listes entières d’adresses e-mail de clients dans le corps du message. Sur X et LinkedIn, les experts en cybersécurité n’en croyaient pas leurs yeux. La crise de sécurité avait enfanté une deuxième crise, par pure maladresse. Il s’agissait du deuxième piratage de Relais Colis en 2026, le précédent ayant eu lieu en décembre 2025 via un autre prestataire.
Le prestataire, maillon faible du commerce connecté
Ce que les cas Kiabi, Relais Colis et Showroomprivé ont en commun, comme la plupart des incidents de ces derniers mois, c’est qu’ils ne viennent pas d’une attaque frontale contre l’enseigne elle-même, mais d’une compromission périphérique : un prestataire, un sous-traitant, un partenaire de confiance. En janvier 2026, ManoMano l’a appris à ses dépens. La plateforme française de e-commerce spécialisée dans le bricolage et le jardinage a informé ses clients d’une violation de données personnelles survenue via l’un de ses sous-traitants de service client. Concrètement, le compte d’un agent du sous-traitant a été compromis, permettant aux attaquants d’accéder aux interfaces internes et de procéder à un téléchargement non autorisé de données. Si ManoMano évoque officiellement des «milliers de clients» touchés, un pirate revendique jusqu’à 37,8 millions de comptes sur le dark web. Les experts saluent la transparence de la communication de la plateforme, c’est rare, mais relèvent une ironie cruelle : ManoMano n’a pas été piraté, c’est quelqu’un qui travaillait pour l’entreprise qui l’a été.
Le même scénario se retrouve chez Basic-Fit, mais en pire. En février 2026, l’entreprise faisait partie des enseignes partenaires de MaSalleDeSport, un prestataire CRM utilisé par plus de 2 000 clubs en France, qui a été touché par une attaque informatique. Moins de deux mois plus tard, Basic-Fit reconnaissait une nouvelle fuite, cette fois directement dans ses propres systèmes, touchant environ un million de membres dans six pays européens, dont la France, avec comme butin noms, adresses, e-mails, téléphones, dates de naissance et coordonnées bancaires. Deux incidents en dix semaines pour la même enseigne, deux vecteurs différents, une même réalité : quand la surface d’attaque s’étend à chaque partenaire commercial et technique, elle devient ingérable. La compromission d’un seul compte suffit à engendrer un «risque systémique» pour l’ensemble des clients, et la plupart des fuites massives sont liées à la possibilité d’accéder trop facilement, notamment via le cloud, à des volumes de données trop importants. Ce n’est pas un hasard si l’ANSSI en fait désormais une des priorités de sa feuille de route.
40 millions de métadonnées d’Alinto, et Carrefour dedans
L’affaire Alinto illustre une dimension encore plus préoccupante : la contamination par ricochet des plus grands noms du commerce français. Découverte fin février 2026, une base de données de la société lyonnaise Alinto, spécialisée dans les solutions de messagerie, était accessible sans le moindre mot de passe. Elle exposait 4,5 millions d’adresses e-mail professionnelles et leurs métadonnées, concernant Renault, Carrefour, L’Oréal, ainsi que des institutions étatiques, créant un risque élevé d’espionnage et de cyberattaques ciblées. Pas de rançongiciel, pas d’intrusion sophistiquée : juste un serveur laissé ouvert. La négligence technique la plus élémentaire, au cœur de l’infrastructure d’un prestataire critique. Bien qu’Alinto ait colmaté la brèche dès le lendemain de l’alerte, l’exposition déjà survenue demeure irréversible. L’enquête ne permet pas de déterminer la durée de cette vulnérabilité ni l’éventuelle collecte par des acteurs malveillants, une incertitude qui laisse planer une menace durable. Pour Carrefour, L’Oréal ou Hermès, la question n’est donc pas réglée. Elle est suspendue.
90 millions de comptes en quelques semaines
Mis bout à bout, ces incidents individuels dessinent une tendance collective alarmante. Début 2026, plus de 90 millions de comptes auraient été touchés en quelques semaines seulement, selon 01net. C’est une population équivalente à celle de la France entière, exposée en moins d’un trimestre. Pour le premier trimestre 2026, la France est le deuxième pays du monde le plus touché par les fuites de données. Le baromètre du Forum Incyber, publié en partenariat avec la CNIL et Hexatrust, confirme l’accélération sur la durée : sur la période septembre 2024-septembre 2025, la CNIL dénombre 8 613 violations de données personnelles notifiées, contre 5 919 un an plus tôt (+45 %), et le nombre de personnes concernées a bondi à 12,2 millions (+53 %). Une intention malveillante est derrière les deux tiers des fuites.
Face à cette réalité, les autorités ont décidé de cibler leur réponse. La CNIL intensifie ses inspections en 2026 sur trois secteurs prioritaires : santé, commerce en ligne et collectivités territoriales. Le commerce en ligne est nommément visé. Ce n’est plus une mise en garde abstraite. Et les sanctions qui tombent sur d’autres secteurs donnent une idée de ce qui attend les retardataires : Free Mobile a écopé de 27 millions d’euros d’amende et Free de 15 millions pour une violation de données touchant 24 millions d’abonnés, selon la sanction officielle du 14 janvier 2026. Marie-Laure Denis, présidente de la CNIL, a mis les points sur les i dans une formule à afficher dans chaque DSI de retailer : «80 % des grandes violations de données auraient pu être évitées» avec la mise en place d’une double authentification.
L’IA entre dans le jeu
Ce qui change vraiment la donne en 2026, c’est que les attaquants ont eux aussi accéléré leur transformation numérique. Dans un rapport publié en février 2026, l’ANSSI souligne que les outils d’IA générative sont désormais utilisés pour automatiser certaines étapes des attaques. Même si aucune attaque entièrement autonome n’a encore été confirmée, l’IA agit comme un multiplicateur de puissance pour les cybercriminels. Concrètement, cela signifie des e-mails de phishing rédigés dans un français impeccable, personnalisés avec les données déjà volées lors d’une précédente fuite, envoyés à l’échelle industrielle. Un client dont l’adresse, le numéro de téléphone et l’historique d’achat ont fuité chez Relais Colis reçoit trois jours plus tard un SMS lui annonçant un problème de livraison, avec son vrai nom et son vrai numéro de commande. Le piège est quasi parfait. Le modèle est simple : scanner, détecter une faille connue, exploiter, puis passer à la suivante. Les PME, moins protégées et souvent mal préparées, font face à une industrialisation des menaces.
Pour Benoît Grunemwald, expert en cybersécurité chez ESET France, les enseignes disposent aujourd’hui d’outils efficaces pour contrer ces attaques. Sous-entendu : le problème n’est pas technologique, mais décisionnel. Les solutions existent. Ce qui manque, c’est la volonté de les déployer avant le premier incident.
Le coût véritable, au-delà de l’amende
Les professionnels du retail ont tendance à aborder la cybersécurité par le prisme de la conformité réglementaire : éviter l’amende RGPD, cocher les cases NIS2. C’est une erreur de calcul. À l’échelle mondiale, le coût moyen d’une violation de données s’élève à 4,44 millions de dollars, et ce chiffre ne tient pas compte du coût le plus difficile à mesurer : l’érosion de la confiance client.
Un acheteur dont les IBAN ou les coordonnées bancaires ont fuité ne revient pas facilement sur un site. Il ne clique plus sur les e-mails de la marque, qu’il assimile désormais à une potentielle arnaque. Il parle de son expérience à ses proches. Et dans un secteur où la fidélisation coûte moins cher que l’acquisition, c’est un capital qui part en fumée. Une fois exfiltrées, ces données sont souvent vendues sur des marchés noirs en ligne ou réutilisées pour des campagnes de phishing plus ciblées, des campagnes qui usurpent précisément l’identité visuelle et le ton de la marque victime.
Il y a aussi la question de la réputation opérationnelle. Depuis fin 2024, des enseignes comme Kiabi, Chronopost, Conforama, Auchan, Darty, Relais Colis ou encore Leroy Merlin ont été touchées. La liste est longue. Et chaque nouveau nom qui s’y ajoute renforce dans l’esprit des consommateurs l’idée que leurs données ne sont nulle part en sécurité, une résignation collective qui n’est bonne pour personne dans le secteur. De manière confidentielle, des acteurs du retail citent une perte de confiance qui peut se chiffrer jusqu’à 5 % de perte du chiffre d’affaires annuel suite à une fuite de données massive.
Le rempart de l’authentification multifacteur
Les experts, les régulateurs et les retours d’expérience des entreprises touchées pointent tous vers les mêmes priorités. Aucune n’est révolutionnaire. Ce qui change, c’est de les mettre en œuvre avant d’avoir à expliquer à ses clients pourquoi leurs données se retrouvent sur le dark web. L’authentification multifacteur (MFA) reste le rempart le plus simple et le plus efficace. Généraliser le MFA sur tous les accès sensibles, back-office, outils CRM et interfaces prestataires, devrait être une priorité absolue pour tout acteur du e-commerce. La gestion des tiers est le deuxième enjeu. L’incident ManoMano rappelle une vérité que tout DPO connaît bien : la chaîne de confiance numérique n’est jamais plus solide que son maillon le plus faible. Tant que les audits de sécurité des sous-traitants ne seront pas systématiquement intégrés dans la gouvernance des données, ce type d’incident continuera de se multiplier. Exiger des prestataires une preuve de conformité, contractualiser les délais de notification d’incident et limiter leur accès aux seules données strictement nécessaires à leur mission : trois mesures qui changent radicalement l’exposition au risque.
La feuille de route nationale de la cybersécurité 2026-2027 prévoit également le déploiement d’outils de détection avancés et l’amélioration de la supervision des systèmes, autrement dit ne pas attendre qu’un pirate annonce lui-même la fuite pour en prendre connaissance. La capacité à détecter une intrusion en quelques heures, et non en quelques semaines, change radicalement le bilan d’un incident. Enfin, la cybersécurité doit être considérée comme une discipline opérationnelle continue et non comme un projet ponctuel ou une simple formalité annuelle. Former les équipes commerciales, logistiques et marketing, pas seulement les équipes IT, à reconnaître un e-mail suspect, à vérifier une demande inhabituelle, à alerter sans crainte : c’est là que se joue souvent la différence entre un incident contenu et une catastrophe.
La confiance numérique, nouveau terrain de compétition
À force de se répéter, la fuite de données perd son pouvoir d’effroi. C’est l’observation glaçante qui décrit un risque systémique : la banalisation. Quand « tout » le monde est piraté, « personne » ne se sent responsable de changer quoi que ce soit. Les enseignes qui sortiront gagnantes de cette période ne seront pas nécessairement celles qui n’auront jamais subi d’incident. Dans le contexte actuel, cela tient autant de la chance que de la vertu. Ce seront celles qui auront répondu vite, communiqué franchement et mis en place des mesures concrètes. La réponse de ManoMano en matière de communication et de transparence mérite d’être saluée, note un expert DPO, précisément parce qu’elle tranche avec la communication rassurante, mais opaque de Basic-Fit ou légère de Florajet dans son mail aux clients a priori touchés par la fuite de données : «Malheureusement, de nombreuses entreprises sont aujourd’hui confrontées à ce type d’attaques, et nous n’y avons pas échappé».
Le cyberespace constitue désormais un champ de confrontation où se croisent espionnage, sabotage et déstabilisation. Pour le retail et l’e-commerce, la traduction est plus simple : les données clients sont devenues la marchandise la plus convoitée. Les protéger, c’est aussi protéger son fonds de commerce.
Je souhaite lire les prochains articles des Clés du Digital, JE M’INSCRIS A LA NEWSLETTER
Laisser un commentaire