Fuite Carrefour : le prestataire expose surtout au phishing ciblé

Début septembre 2026, Carrefour a averti certains clients français qu’un incident de sécurité chez « un de ses prestataires » avait pu exposer leurs coordonnées, selon la communication consultée par Cyberattaque.org. Les données concernées sont le prénom, le nom, l’adresse électronique et le numéro de téléphone. Les mots de passe et les données bancaires sont déclarés non compromis.

Dans un article du 30 septembre 2026, Le Monde Informatique rapporte que des spécialistes de la veille cyber identifient ce prestataire comme Shipup, fournisseur de services de suivi après achat et de notifications de livraison. Le courrier adressé aux clients ne le nomme pas. Pour une personne avertie, la menace la plus concrète est désormais un courriel ou un SMS qui utilise son vrai nom pour imiter une information sur un colis.

Ce que l’alerte permet de classer comme exposé, préservé ou inconnu

La distinction porte sur les données des clients concernés par la notification, et non sur l’ensemble des clients de l’enseigne. Une coordonnée exposée peut servir à personnaliser une prise de contact ; une information déclarée non compromise peut néanmoins être demandée plus tard par un faux site. Voici ce que l’on peut déduire de l’alerte :

• Exposé ou susceptible de l’être : prénom, nom, adresse électronique et numéro de téléphone. Ces éléments permettent de joindre une personne par plusieurs canaux et de l’appeler par son identité réelle.
• Déclaré non compromis : mots de passe et données bancaires. Aucun élément communiqué ne signale non plus une compromission des comptes clients ou des systèmes informatiques de Carrefour.
• Inconnu : nombre de clients touchés, période précise de l’accès aux données Carrefour et éventuelle présence d’adresses postales, de numéros de commande ou de détails d’achat dans les informations consultées. Leur absence de la liste publiée ne suffit pas à les classer comme préservés.

Cette dernière catégorie évite une confusion importante : le fait qu’un message cite un produit acheté ou une date de livraison ne prouverait ni qu’il est authentique ni que ce détail provient de cet incident. À l’inverse, l’absence de mot de passe dans les données annoncées comme exposées ne protège pas celui qui le saisirait ensuite sur une page frauduleuse.

Pourquoi une fausse livraison peut sembler crédible

Le service associé au prestataire concerne précisément les communications après achat. Un fraudeur qui disposerait du nom, de l’e-mail et du téléphone d’un client pourrait donc choisir un prétexte cohérent avec ce contexte : colis à reprogrammer, livraison à confirmer ou remboursement à réclamer. Le prénom exact dans un SMS rend le message plus personnel, sans établir qui l’a envoyé.

Le piège repose sur une demande supplémentaire. Un avis de passage fictif peut conduire vers une page qui réclame des frais ; un remboursement annoncé peut demander un numéro de carte ; un suivi de commande peut inviter à se connecter. Dans ces scénarios possibles, les coordonnées issues de l’exposition servent à amorcer l’échange, tandis que le paiement, le mot de passe ou le code de connexion sont recherchés dans un second temps. Aucune campagne précise utilisant les données de clients Carrefour n’est établie par les informations publiques sur cet incident.

La présentation du message est un mauvais arbitre : un texte sans faute ou un nom de marque familier peut accompagner une demande frauduleuse. Le contexte de la demande compte davantage. Une livraison réellement attendue doit pouvoir être retrouvée par un chemin choisi indépendamment du courriel ou du SMS reçu.

Comment vérifier si l’on fait partie des clients concernés

L’indication personnelle la plus directe est la notification adressée aux clients identifiés comme concernés. Cherchez-la dans la boîte de réception et les courriers indésirables, mais méfiez-vous d’un message qui promettrait de révéler votre statut après un clic ou une connexion. Le seul fait d’être client de Carrefour ne permet pas de conclure que ses coordonnées figurent parmi les données exposées.

Ne pas retrouver de notification ne donne pas non plus une réponse certaine : elle peut avoir été classée ailleurs ou ne plus être disponible. Si le doute demeure, ouvrez vous-même le site ou l’application habituelle de l’enseigne pour joindre son service client. Demandez si votre compte a été identifié parmi ceux visés par l’alerte et quelles catégories de données vous concernant sont en cause. Le nombre total de personnes concernées n’étant pas communiqué, aucun chiffre public ne permet de déduire un statut individuel.

Reconnaître un faux suivi, un remboursement ou une demande de paiement

Les consignes de Cybermalveillance.gouv.fr recommandent de vérifier le véritable suivi du colis ou de contacter directement le transporteur lorsqu’un message de livraison paraît douteux. Dans le cas présent, cette vérification indépendante est plus fiable que le nom affiché, l’adresse de l’expéditeur ou les coordonnées personnelles reprises dans le texte.

• Suivi de colis : si un SMS évoque un échec de livraison ou un nouveau créneau, ouvrez votre commande ou le suivi depuis l’application habituelle ou une adresse que vous saisissez vous-même. Un lien reçu dans le SMS ne prouve rien.
• Remboursement : si un courriel promet un versement et demande une carte bancaire, vérifiez d’abord qu’un remboursement existe dans votre espace client ou auprès du service client joint par vos propres moyens.
• Frais à payer : si un message réclame une somme pour débloquer un colis, interrompez la démarche avant de saisir des coordonnées de paiement et demandez au transporteur, par son canal officiel, si des frais sont réellement dus.
• Connexion au compte : si une page ouverte depuis un message réclame un mot de passe ou un code reçu par SMS, fermez-la. Accédez séparément à votre compte pour vérifier la demande.

Si vous avez déjà transmis des données de carte bancaire à une page de ce type, contactez immédiatement votre banque pour faire opposition et conservez le message ainsi que l’adresse du site visité. Le risque se prolonge au-delà de la fuite initiale : un contact personnalisé peut chercher à obtenir les informations financières ou les accès que l’alerte ne signale pas comme compromis.

À lire aussi :

• Un message sans fautes peut être du phishing : vérifiez plutôt le contexte