Fuite de données Planity : qui est vraiment concerné

Une base rattachée à Planity, plateforme française de réservation en salon de coiffure, chez le barbier et en institut de beauté, a été mise en vente le 28 juillet 2026 sur un forum criminel. L'annonce revendique 465 828 personnes. La plateforme évoque de son côté un environnement de test et environ 138 000 enregistrements réels, sans mot de passe ni donnée bancaire.

Ce qui s'est passé, et les deux comptages qui s'opposent

Le 28 juillet 2026, une annonce publiée sur un forum spécialisé propose à la vente un ensemble de données présenté comme provenant de Planity. La revendication, documentée par l'observatoire indépendant FrenchBreaches, fait état de plus de 1 088 000 enregistrements, ramenés à 465 828 personnes uniques après dédoublonnage, et rattachés à 1 276 établissements distincts. L'échantillon diffusé pour appuyer l'offre montre des lignes structurées : identité, moyens de contact, genre, dates de création de fiche et identifiants techniques reliant chaque client à un salon.

Deux jours plus tard, Planity apporte une réponse d'une nature différente. Selon l'entreprise, l'incident concerne un environnement de test et non l'environnement de production, porte sur environ 138 000 enregistrements réels, ne comprend ni mot de passe ni donnée bancaire, et donne lieu à une notification à la CNIL ainsi qu'à une information des utilisateurs concernés.

Ces deux comptages ne sont pas nécessairement contradictoires, et comprendre pourquoi vous aide à vous situer. Un vendeur a intérêt à annoncer le volume brut, doublons compris, car il vend au poids. Une entreprise, elle, compte les personnes réellement identifiables. Entre les deux subsiste une zone grise : la revendication mentionne un lot important d'enregistrements marqués comme importés, c'est-à-dire ne provenant pas directement des inscriptions en ligne. Ces fichiers d'import sont typiquement les carnets de clientèle que les salons transfèrent depuis leur ancien logiciel de caisse lorsqu'ils changent d'outil. Autrement dit, il est possible d'apparaître dans une telle base sans avoir jamais créé de compte sur la plateforme, simplement parce que votre coiffeur a migré son fichier client.

À ce stade, l'authenticité complète de la base, le mode d'accès technique et l'origine exacte des enregistrements importés n'ont pas été vérifiés de façon indépendante. Nous présentons donc la revendication comme telle, et la réponse de l'entreprise comme telle. Aucun élément public ne permet aujourd'hui de trancher entre les deux volumes.

Quelles données sont en jeu, et lesquelles ne le sont pas

Commençons par la bonne nouvelle, car elle est réelle. D'après les champs observés et la déclaration de la plateforme, ce lot ne contient ni empreinte de mot de passe, ni numéro de carte, ni IBAN. Vous n'avez donc pas de raison de craindre un prélèvement frauduleux ou une prise de contrôle de compte directement issue de cet incident. C'est une différence importante avec les fuites bancaires que nous avons documentées, comme celle qui avait exposé les IBAN de clients d'un opérateur télécom français.

Les champs cités dans la revendication relèvent en revanche de l'identité civile et du contact :

• Nom et prénom : présents sur la quasi-totalité des lignes revendiquées, soit près d'un million d'enregistrements avant dédoublonnage.
• Numéro de téléphone : environ 327 000 numéros. C'est le champ le plus sensible du lot, car il ouvre le canal SMS et l'appel vocal.
• Adresse e-mail : environ 176 000 adresses, qui deviennent des cibles de campagnes ciblées et des points d'entrée pour tester des mots de passe déjà connus ailleurs.
• Genre : renseigné sur plus de 111 000 fiches. Anodin isolément, c'est un critère de segmentation efficace pour calibrer un message frauduleux.
• Le rattachement à un établissement : l'élément le plus sous-estimé. Chaque fiche pointe vers un salon identifié, donc vers un nom commercial et une ville.

Pourquoi un fichier « sans données bancaires » reste dangereux

Il existe une idée reçue tenace selon laquelle une fuite ne compte que si elle contient de l'argent. C'est une erreur d'appréciation. Ce qui donne sa valeur à ce lot n'est pas un champ pris isolément, c'est la combinaison qu'il permet. Retenez le raisonnement suivant, il vaut pour toutes les fuites de ce type.

Un message frauduleux échoue presque toujours pour une seule raison : il est générique. « Cher client, votre colis est en attente » ne convainc plus grand monde. Ce fichier corrige exactement ce défaut. Il permet d'écrire, par SMS, sur votre numéro personnel : « Bonjour Camille, votre rendez-vous du jeudi au salon [nom exact de votre salon, dans votre ville] doit être confirmé ». Le nom est juste, l'établissement est juste, le canal est celui que vous utilisez habituellement pour ce type de rappel. On appelle cela le spear-phishing, littéralement le harponnage : au lieu de jeter un filet au hasard, l'attaquant vise une personne précise avec des détails qu'il n'est pas censé connaître. Et c'est précisément l'exactitude de ces détails qui désactive votre méfiance.

Ce mécanisme n'a rien de théorique. Nous l'avons décortiqué dans notre analyse de l'arnaque Mondial Relay par note vocale : dès qu'un fraudeur dispose du bon contexte, le taux de réussite change d'échelle. Ajoutez le fait que les rappels de rendez-vous en salon arrivent réellement par SMS avec un lien, et vous obtenez un terrain idéal. La victime n'a aucune raison structurelle de douter.

Le vrai sujet technique : ce que vaut l'argument de l'environnement de test

La précision apportée par Planity, à savoir qu'il s'agit d'un environnement de test et non de production, mérite d'être expliquée plutôt que reprise telle quelle, car elle est ambivalente.

Un environnement de test est une copie du système utilisée par les équipes techniques pour vérifier qu'une nouvelle fonctionnalité ne casse rien avant de la mettre en ligne. Vue de l'entreprise, l'information est rassurante : le cœur du système, celui qui gère les paiements et les authentifications, n'a pas été atteint. Vue du client, elle change beaucoup moins de choses qu'il n'y paraît. Vos coordonnées ne deviennent pas moins exactes parce qu'elles se trouvaient dans une copie. Un numéro de téléphone exposé depuis un serveur de recette est aussi exploitable qu'un numéro exposé depuis la production.

Surtout, cet argument déplace la question au lieu de la clore. La règle professionnelle en la matière est explicite. Dans sa fiche consacrée à la manière d'encadrer les développements informatiques, la CNIL range parmi les pratiques à proscrire le fait d'« utiliser des données personnelles réelles pour les phases de développement et de test », et recommande de travailler dans un environnement distinct de la production, avec des jeux de données fictives ou anonymisées. Ce point est central : la présence de données réelles dans un environnement de test n'est pas une circonstance atténuante, c'est en soi l'écart à documenter.

Ce constat dépasse largement un acteur ou un secteur. Les environnements de préproduction sont un angle mort classique de la sécurité : moins surveillés, moins cloisonnés, souvent accessibles à davantage de prestataires, et pourtant remplis de copies fidèles des données de production « pour que les tests soient réalistes ». C'est un facteur récurrent derrière la progression continue des notifications de violations en France, que nous avons chiffrée dans notre bilan CNIL 2026 des fuites de données.

Ce que la plateforme et les salons vous doivent

Face à une violation de données, les obligations ne sont pas symboliques et vous pouvez en vérifier l'exécution. La CNIL les rappelle dans sa fiche sur les violations de données personnelles : l'organisme dispose de 72 heures à compter du moment où il acquiert un degré de certitude raisonnable pour notifier l'autorité, et il doit informer directement les personnes concernées lorsque la violation présente un risque élevé pour leurs droits et libertés. Cette information doit décrire la nature de l'incident, ses conséquences probables, les mesures prises, et fournir un point de contact, généralement le délégué à la protection des données.

Un détail juridique mérite votre attention, car il conditionne à qui vous adresser. Sur ce type de plateforme, deux rôles coexistent. Le salon décide de la constitution de son fichier client : il est responsable de traitement. La plateforme fournit l'outil qui héberge et traite ces données pour le compte du salon : elle agit largement comme sous-traitant. En pratique, vous pouvez donc exercer vos droits auprès des deux, et rien ne vous oblige à choisir. Notre récapitulatif de vos droits RGPD expliqués détaille les délais de réponse applicables et les voies de recours en cas de silence.

Vos réflexes, par ordre d'efficacité

Inutile de tout faire en même temps. Voici les gestes qui comptent réellement pour ce type d'exposition, du plus utile au plus optionnel.

• Traitez tout SMS de rendez-vous comme non fiable pendant plusieurs mois : les bases mises en vente sont exploitées par vagues successives, parfois longtemps après la publication de l'annonce. Ne cliquez sur aucun lien de confirmation, rappelez le salon directement.
• Signalez les messages suspects au 33700 : le service officiel de signalement des SMS et appels frauduleux. Transférez le message tel quel, sans le modifier, puis supprimez-le.
• Vérifiez la réutilisation de votre mot de passe : aucun mot de passe n'est concerné ici, mais votre adresse e-mail figure désormais dans une liste. Si elle est associée ailleurs à un mot de passe déjà éventé, elle sera testée. Notre guide du mot de passe sécurisé décrit la méthode de reprise en main.
• Réservez désormais avec une adresse dédiée : une adresse alias pour les inscriptions commerciales isole votre messagerie principale, celle qui commande la réinitialisation de tous vos comptes. Une fuite chez un commerçant ne remonte alors plus jusqu'à elle.
• Demandez l'effacement de votre fiche client : l'article 17 du RGPD s'applique aussi à un carnet de clientèle. Si vous ne fréquentez plus l'établissement, exigez la suppression. Notre lettre type RGPD de suppression fournit le formalisme attendu.
• Mettez en place une veille : une surveillance continue du darknet vous prévient lorsque vos identifiants réapparaissent dans un nouveau lot, plutôt que de vous laisser l'apprendre par un message frauduleux particulièrement bien renseigné.

Le fond du problème : la durée de vie de vos coordonnées

Cet incident illustre une réalité peu confortable. Vous avez communiqué un nom, un téléphone et une adresse e-mail pour obtenir une coupe de cheveux. Ces trois informations ont ensuite vécu leur propre vie : enregistrées par un salon, migrées vers un logiciel de gestion, dupliquées dans un environnement de test, puis potentiellement recopiées dans un fichier vendu à des inconnus. À aucun moment vous n'avez pu suivre ce parcours, et à aucun moment on ne vous a demandé de le valider.

Le même triptyque se retrouve, avec des variantes, chez les courtiers de données (data brokers), ces sociétés dont le métier consiste à agréger les fragments issus de dizaines de sources pour reconstituer un profil commercial exploitable. Un fichier fuité ne disparaît jamais : il est recoupé avec d'autres, enrichi, puis remis en circulation. C'est ce qui transforme une fuite anodine en matière première pour des tentatives de fraude à l'identité, un enchaînement que nous détaillons dans notre guide sur les 48 heures qui suivent une usurpation d'identité.

C'est exactement le travail qu'EffaceData prend en charge. Nous identifions les courtiers de données qui détiennent votre profil, exigeons son effacement sur le fondement de l'article 17 du RGPD, et surveillons ensuite la réapparition de vos informations dans les fuites publiées. Vous ne pouvez pas empêcher un prestataire de mal cloisonner son environnement de test. Vous pouvez réduire le nombre d'endroits où vos coordonnées se trouvent, et être averti au lieu d'être surpris.

Avertissement : Ceci n'est pas un conseil juridique. Cet article est fourni à titre d'information en cybersécurité et reflète les éléments publics connus au 30 juillet 2026. Les volumes annoncés par l'auteur de la revendication n'ont pas été vérifiés de manière indépendante et sont rapportés comme des allégations ; la réponse de la plateforme est rapportée telle qu'elle a été communiquée. Les qualifications juridiques évoquées (responsable de traitement, sous-traitant) sont générales et ne préjugent pas de la répartition retenue dans ce cas précis. Pour une situation individuelle, rapprochez-vous d'un professionnel du droit ou des services officiels compétents.