Fuite King Jouet : près de 196 000 clients exposés avant Noël

Le 20 octobre 2026, un fichier présenté comme la base clients du site King Jouet a été diffusé gratuitement sur un forum cybercriminel : 195 714 fiches avec nom, e-mail, téléphone, code postal et ville, dont 133 283 en France. L'enseigne n'a rien confirmé. Si vous avez un compte ou avez commandé sur king-jouet.com, considérez-vous comme potentiellement concerné.

Le calendrier rend cette fuite plus gênante qu'elle n'en a l'air. Le fichier ne contient ni carte bancaire ni mot de passe, mais il arrive cinq semaines avant le Black Friday et deux mois avant Noël, au moment précis où des centaines de milliers de foyers attendent des colis de jouets. Un faux message qui parle d'une commande retardée, d'un retrait en magasin ou d'un remboursement aura rarement autant de chances de tomber juste.

Que s'est-il passé, et qu'est-ce qui reste incertain ?

Le 20 octobre 2026, un individu se présentant sous le pseudonyme « Onyxx » a mis en ligne, en accès libre, un tableur de 15,5 Mo intitulé « [FR] king-jouet.com - 195K+ Records ». Selon Fuites Infos, qui a relayé l'annonce le soir même, l'auteur affirme avoir extrait les données le jour même depuis le logiciel de gestion utilisé par l'enseigne. Cette affirmation n'est pas vérifiée.

La différence avec beaucoup de revendications récentes, c'est que le fichier n'est pas vendu mais donné. Il a donc pu être téléchargé par n'importe qui, et plusieurs sites de veille l'ont examiné en entier. Leurs décomptes concordent : Cyberattaque.org et FrenchBreaches y trouvent 195 714 fiches clients, 195 183 adresses e-mail distinctes et environ 174 900 numéros de téléphone distincts. Fuites Infos retient un chiffre légèrement inférieur (193 837 clients distincts) après dédoublonnage.

Ce que l'on ignore encore

• L'origine exacte. Les métadonnées du fichier citent un sous-domaine de King Jouet et un module de gestion du site marchand. Elles ont toutefois été ajoutées par l'auteur lui-même : elles orientent, elles ne prouvent rien.
• L'ampleur réelle. D'après la note jointe au fichier, l'outil interrogé limitait chaque recherche à 50 résultats. Si c'est exact, le fichier pourrait n'être qu'une partie de la base accessible.
• Le lien avec l'incident de 2025. En février 2025, King Jouet avait reconnu une cyberattaque, en estimant à moins de 25 000 le nombre de clients touchés, alors que le pirate de l'époque revendiquait plus de 4 millions d'enregistrements. Aucun lien entre les deux affaires n'est établi.

À la date de publication de cet article, King Jouet n'a fait aucune déclaration publique sur ce fichier.

Ce que contient le fichier, ligne par ligne

Selon l'analyse détaillée de Cyberattaque.org :

• 195 697 fiches comportent une adresse e-mail.
• 177 030 fiches comportent un numéro de téléphone, souvent un mobile, parfois au format international.
• 190 688 fiches comportent une ville ou un code postal.
• Répartition déduite des indicatifs : 133 283 en France, 22 491 en Suisse, 18 545 en Belgique, 2 231 au Luxembourg, le pays restant inconnu pour le reste.

Le même site rappelle que, d'après la politique de confidentialité de l'enseigne, les paiements en ligne sont traités par un prestataire spécialisé et que King Jouet ne conserve pas les numéros de carte. C'est cohérent avec l'absence de toute donnée bancaire dans le fichier.

Quelles arnaques attendre d'ici Noël ?

Le scénario le plus probable n'est pas un piratage de votre compte, mais un message qui imite le commerçant ou un transporteur au moment où vous attendez justement un colis. Voici un exemple fictif, construit uniquement avec les champs présents dans le fichier.

• Le nom et la ville sont exacts. Ils viennent du fichier. Ils prouvent seulement que l'expéditeur l'a téléchargé, pas qu'il travaille pour l'enseigne.
• Le nom d'expéditeur ne garantit rien. Un expéditeur affiché « KINGJOUET » peut être usurpé, et le faux SMS peut même s'insérer dans un fil de messages authentiques.
• Le petit montant et le délai court. 1,99 € ne fait pas peur ; le vrai objectif est le numéro de carte, souvent suivi d'un appel d'un faux conseiller bancaire pour « annuler une opération suspecte ».
• Le domaine. « kingjouet-retrait.com » n'est pas « king-jouet.com ». Un tiret déplacé ou un mot ajouté suffit à changer de propriétaire.

Les autres variantes à prévoir : faux points de fidélité « qui expirent », faux jeu-concours de Noël, faux remboursement après une rupture de stock, ou appel d'un prétendu service client qui « confirme votre identité ». La suite classique, l'appel du faux service fraude de votre banque, est décrite pas à pas dans notre article sur l'arnaque au faux conseiller bancaire et l'usurpation du numéro de l'agence.

Ce qui manque au fichier, l'adresse complète et la date de naissance, les fraudeurs vont le chercher ailleurs, souvent chez les courtiers de données qui revendent des profils de consommateurs. Faire effacer votre profil chez plus de 100 courtiers laisse ce fichier King Jouet incomplet pour ceux qui voudraient l'enrichir, même s'il ne retire pas les copies déjà téléchargées.

Donnée exposée, risque concret, parade

Le plan d'action, du plus urgent au plus durable

Ces mesures suivent la fiche réflexe de Cybermalveillance.gouv.fr en cas de fuite de données personnelles, appliquée à la période d'achats qui s'ouvre. Elles sont utiles que King Jouet confirme ou non.

Aujourd'hui

• 1. Fixez-vous une règle simple pour les fêtes : aucun paiement, aucune saisie de carte et aucun identifiant à partir d'un lien reçu par SMS, e-mail ou messagerie, quel que soit l'expéditeur affiché. Vous vérifiez toujours en ouvrant vous-même l'application ou le site.
• 2. Prévenez les personnes du foyer qui commandent aussi, en particulier les grands-parents qui achètent souvent les cadeaux et dont le numéro a pu être utilisé pour une commande.
• 3. Changez votre mot de passe King Jouet s'il sert ailleurs. Il ne figure pas dans le fichier, mais votre e-mail sert désormais de point de départ pour tester des mots de passe volés lors d'autres fuites. La priorité reste la messagerie, qui permet de réinitialiser tout le reste.

Cette semaine

• 4. Signalez les messages suspects : transférez les SMS au 33700 et signalez les e-mails sur signal-spam.fr, puis supprimez-les.
• 5. Faites le point sur vos autres expositions. Si votre adresse figure aussi dans d'autres fuites, les fraudeurs pourront recouper davantage d'informations. Notre article comment savoir si votre e-mail est concerné par une fuite explique la démarche.
• 6. Demandez à King Jouet ce qu'il détient sur vous au titre du droit d'accès (article 15 du RGPD), en utilisant le contact indiqué dans sa politique de confidentialité. Un modèle figure ci-dessous.

Dans les mois qui viennent

• 7. Redoublez de prudence aux pics d'achats : Black Friday, semaines précédant Noël, puis soldes de janvier. Ce sont les moments où un faux message de livraison a le plus de chances d'être cru.
• 8. En cas de débit frauduleux, faites immédiatement opposition auprès de votre banque, conservez les SMS et captures d'écran, puis déposez plainte. Cybermalveillance.gouv.fr oriente gratuitement les victimes.
• 9. Sans réponse à votre demande d'accès dans le délai prévu (en principe un mois), vous pouvez adresser une plainte à la CNIL.

Modèle : demande d'accès à envoyer à King Jouet

Pour savoir dès maintenant si votre adresse apparaît dans des fuites déjà connues, vérifiez-la gratuitement avec notre scan. Le résultat ne dira pas si vous êtes dans le fichier King Jouet, mais il montre ce que les fraudeurs peuvent déjà croiser avec.

Pourquoi le risque ne s'arrête pas après les fêtes

Un fichier diffusé gratuitement ne disparaît jamais vraiment. Il est fusionné avec d'autres bases, revendu sous forme de « combolists » et réutilisé des mois plus tard, souvent après que l'actualité est retombée : c'est alors que les messages ciblés reviennent, quand plus personne ne s'y attend. Les données volées remontent aussi parfois avec retard sur le darknet, dans des compilations où elles côtoient d'autres fuites. Une vérification gratuite donne une photographie à un instant donné ; la surveillance continue, elle, vous avertit le jour où votre adresse surgit dans un nouveau fichier.

Si King Jouet confirme l'incident, l'enseigne devra le notifier à la CNIL et informer les clients concernés lorsque le risque est élevé. Une réparation au titre de l'article 82 du RGPD pourrait être envisagée si une faute et un préjudice étaient établis, mais rien n'est automatique et l'appréciation revient à un juge. Nous n'avons connaissance, à ce jour, d'aucune action collective liée à ce fichier ; si une telle action venait à exister, les abonnés EffaceData concernés en seraient informés et resteraient libres de s'y joindre ou non. Ceci n'est pas un conseil juridique.

Questions fréquentes

La fuite King Jouet est-elle confirmée ?

Pas à la date du 21 octobre 2026 : King Jouet n'a publié aucune déclaration sur ce fichier. En revanche, plusieurs sites de veille ont obtenu et analysé le fichier complet, et leurs décomptes concordent (environ 195 700 fiches). La publication est donc qualifiée de revendiquée et crédible, mais l'origine exacte des données et la manière dont elles auraient été extraites ne sont pas établies.

Ma carte bancaire est-elle en danger ?

Le fichier analysé ne contient aucune coordonnée bancaire, ni mot de passe, ni historique de commandes. Le risque principal est indirect : un fraudeur qui connaît votre nom, votre e-mail et votre numéro de mobile peut se faire passer pour King Jouet, un transporteur ou votre banque afin de vous faire saisir vous-même votre carte sur une fausse page. Ne réglez jamais un montant à partir d'un lien reçu par SMS ou par e-mail.

Comment savoir si je figure dans le fichier ?

Il n'existe pas d'outil officiel de vérification. Si vous avez créé un compte sur king-jouet.com ou passé commande en ligne, considérez-vous comme potentiellement concerné. Vous pouvez aussi exercer votre droit d'accès auprès de l'enseigne pour savoir quelles données elle conserve sur vous. Ceci n'est pas un conseil juridique.

J'achète seulement en magasin, suis-je concerné ?

Ce n'est pas établi. Selon les analyses publiées, les métadonnées du fichier renvoient à un outil de gestion lié au site marchand. Un client qui a uniquement payé en caisse sans laisser d'e-mail ni de téléphone a peu de chances d'y figurer. En revanche, si vous avez donné vos coordonnées pour un programme de fidélité, une réservation ou un retrait de commande, restez prudent.

Je suis client en Belgique, en Suisse ou au Luxembourg, que faire ?

Le fichier contient aussi plus de 43 000 fiches de clients belges, suisses et luxembourgeois. Les mêmes précautions s'appliquent : aucun clic sur les liens reçus, vérification directe sur le site ou l'application officielle, mots de passe uniques. Signalez les messages suspects auprès du service national de signalement de votre pays.