- Intermarché a subi une cyberattaque exposant les données personnelles de 300 000 clients ; le parquet de Paris a ouvert une enquête pénale.
- Les informations volées (noms, adresses, téléphones, dates de naissance) suffisent pour des arnaques ciblées — même sans données bancaires.
- Toute PME qui collecte des données clients est concernée par les mêmes obligations légales et les mêmes risques.
C’est le cas qui a fait le plus de bruit cette semaine. Intermarché a confirmé qu’une attaque informatique avait permis à des pirates d’accéder aux informations personnelles de quelque 300 000 clients, principalement des utilisateurs du service de drive. Noms, prénoms, coordonnées postales, numéros de téléphone, dates de naissance et numéros de carte de fidélité font partie des éléments compromis. L’enseigne précise qu’aucun mot de passe ni aucune donnée bancaire n’a été dérobé, mais cela ne suffit pas à minimiser l’incident.
Face à l’ampleur de la fuite, le parquet de Paris a ouvert une enquête pénale. C’est un signal fort : une violation de données de cette échelle n’est plus seulement un problème d’image, c’est une affaire judiciaire.
Pourquoi des données « sans carte bleue » restent dangereuses
Un nom associé à une adresse, un numéro de téléphone et une date de naissance, c’est tout ce qu’il faut pour construire un message de phishing très convaincant ou tenter une usurpation d’identité. Les cybercriminels croisent ces informations avec d’autres bases déjà en circulation pour affiner leurs attaques. Vos clients, eux, ne font souvent pas la différence entre un message frauduleux et une vraie communication de votre part.
Ce que la loi exige de vous
Le Règlement général sur la protection des données (RGPD) impose à toute organisation — grande enseigne ou petite entreprise — de notifier la CNIL dans les 72 heures suivant la découverte d’une violation, et d’informer les personnes concernées si le risque pour elles est élevé. Ne pas respecter ces délais expose à des sanctions administratives qui peuvent atteindre des montants très significatifs, même pour une PME.
Trois réflexes à adopter maintenant
- Cartographiez vos données clients : savez-vous exactement où elles sont stockées et qui y a accès ?
- Limitez la collecte : ne conservez que ce qui est strictement nécessaire à votre activité.
- Préparez un plan de réponse : qui prévenir, dans quel ordre, si une fuite est découverte un lundi matin ?
L’incident Intermarché rappelle qu’aucune taille d’entreprise ne met à l’abri. Une PME qui gère un fichier clients — même modeste — porte les mêmes responsabilités légales qu’un grand groupe, avec souvent moins de ressources pour y faire face. C’est précisément pour cela qu’anticiper vaut bien mieux que gérer une crise dans l’urgence.
Autres actus de la semaine
- Désinformation pro-russe (Storm-1516) : ce réseau a diffusé de fausses vidéos visant des personnalités politiques françaises en imitant des médias connus — une menace qui concerne aussi la réputation des entreprises.
- Microsoft Office : une faille critique permettant l’exécution de code à distance a été signalée par le CERT-FR — appliquez les mises à jour dès que possible.
- Microsoft Edge : deux avis distincts du CERT-FR cette semaine, dont un permettant l’exécution de code arbitraire — vérifiez que votre navigateur est bien à jour.
- Veeam : des vulnérabilités sérieuses touchent les outils de sauvegarde Veeam, très répandus en PME — une mise à jour urgente est recommandée.
- Nextcloud : des failles permettant l’accès non autorisé aux données ont été identifiées — les utilisateurs de cette solution de stockage doivent patcher sans attendre.
- Android & Google Pixel : plusieurs vulnérabilités corrigées cette semaine sur les appareils Android — pensez à activer les mises à jour automatiques sur les mobiles professionnels.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.