Fuite Shipup : vos données de suivi de colis exposées

Shipup, plateforme qui gère le suivi de colis et les notifications de livraison pour plusieurs centaines de marques, a subi une intrusion entre le 31 juillet et le 17 août 2026. Printemps, Citadium, Aroma-Zone, Micromania et Easypara ont commencé à notifier leurs clients. Nom, prénom, adresse e-mail et numéro de téléphone sont concernés. Ni mots de passe, ni données bancaires.

Si vous avez reçu ces derniers jours un courriel d'une enseigne vous informant d'un « incident de sécurité survenu chez l'un de nos prestataires », il ne s'agit pas d'une tentative de phishing : plusieurs enseignes françaises ont effectivement envoyé ce type de message le 9 septembre 2026. La particularité de cette fuite tient à son point d'entrée. L'attaque n'a visé aucune des marques citées. Elle a visé la société qui, dans l'ombre, vous envoie les messages « votre colis est arrivé au centre de tri ».

Le sous-traitant invisible : pourquoi une entreprise que vous ne connaissez pas détient vos coordonnées

Quand vous commandez sur le site d'une enseigne, celle-ci ne gère presque jamais elle-même toute la chaîne. Le paiement passe par un prestataire, l'envoi des e-mails par un autre, le suivi du colis par un troisième. Chacun de ces intervenants s'appelle en droit européen un sous-traitant : une société qui traite vos données pour le compte du commerçant, sur ses instructions. Voyez cela comme une sous-traitance de chantier : le maître d'ouvrage reste responsable de l'ouvrage, même quand c'est l'artisan mandaté qui a mal posé la serrure.

Shipup occupe exactement cette position. La société accompagne, selon sa propre communication commerciale, plus de 700 marques pour la partie « après achat » : pages de suivi, notifications par e-mail et par SMS, relances en cas de retard. Pour faire ce travail, elle reçoit des enseignes ce dont elle a besoin, c'est-à-dire votre identité, vos coordonnées de contact et des informations sur votre commande.

Conséquence directe : un client d'Aroma-Zone ou de Micromania n'a jamais entendu parler de Shipup, n'a jamais accepté de conditions générales chez Shipup, et se retrouve pourtant informé d'une fuite portant son nom. Cette asymétrie est la caractéristique structurante des fuites par sous-traitance, et elle explique pourquoi une seule intrusion peut toucher les clients de dizaines d'enseignes différentes d'un coup.

La CNIL a documenté ce scénario dans une fiche pédagogique consacrée à la compromission de données chez un sous-traitant, qui décrit précisément le cas d'une plateforme logistique dont les bases clients, cloisonnées de façon insuffisante, se retrouvent aspirées pour l'ensemble de ses donneurs d'ordre.

Chronologie : trois semaines d'accès, un mois de silence

Les éléments publiquement disponibles dessinent une séquence en quatre temps.

• 31 juillet au 17 août 2026 : fenêtre d'accès non autorisés aux données hébergées par le prestataire, telle qu'indiquée dans les notifications envoyées aux clients.
• Début août 2026 : publication du correctif de la vulnérabilité exploitée, qui affecte l'outil d'analyse de données Metabase.
• 3 septembre 2026 : confirmation que le prestataire figure parmi les organisations touchées par l'exploitation de cette faille.
• 9 septembre 2026 : vague de notifications individuelles envoyées par Printemps, Citadium et Aroma-Zone, après des alertes antérieures concernant Micromania et Easypara.

Ce décalage entre la fin de l'intrusion et l'information des personnes concernées n'a rien d'anormal sur le plan technique : reconstituer ce qui a réellement été consulté suppose d'analyser des journaux de connexion, périmètre par périmètre. Il a néanmoins une conséquence pratique désagréable. Pendant ces semaines, les données ont pu être exploitées avant que vous ne soyez en mesure de vous méfier.

La faille exploitée, expliquée sans jargon

L'incident remonte à une vulnérabilité critique de Metabase, un logiciel très répandu de visualisation et d'interrogation de bases de données. Les équipes techniques s'en servent pour construire des tableaux de bord internes : nombre de colis livrés, taux de retard, volumes par enseigne.

La faille, référencée CVE-2026-72898 et notée au maximum de l'échelle de gravité, permettait à un attaquant non authentifié d'injecter ses propres commandes dans la base à travers une fonction accessible publiquement. L'image la plus juste est celle d'un guichet d'accueil qui, au lieu de transmettre votre demande au service compétent, exécute sans contrôle n'importe quelle instruction glissée dans le formulaire, y compris « ouvre-moi le coffre ». Une fois ce guichet détourné, l'attaquant obtient un accès d'administration à l'outil, et par ricochet aux bases de données que cet outil interroge.

Le point à retenir dépasse largement le cas Shipup : la donnée n'a pas fuité par le site marchand, elle a fuité par un tableau de bord interne. Vos coordonnées existent en de multiples exemplaires, dans des systèmes annexes dont vous n'avez jamais eu connaissance et dont vous ne pouvez pas évaluer la sécurité. Faire recenser puis effacer les copies de vos données qui circulent est la seule action qui agit sur cette dispersion plutôt que sur ses symptômes.

Quelles données exactement ? Un périmètre à géométrie variable

C'est le point sur lequel il faut être précis, car les formulations diffèrent d'une notification à l'autre.

Le socle commun, présent dans toutes les communications d'enseignes : nom, prénom, adresse électronique, numéro de téléphone.

Les éléments mentionnés dans certains recensements de l'incident, sans être confirmés par chaque enseigne : numéros de suivi, contenu des commandes et adresses de livraison. La différence n'est pas anecdotique. Une adresse postale associée à un achat précis change la nature du risque, puisqu'elle permet de reconstituer un profil de consommation.

Ce qui n'est pas concerné, et c'est la bonne nouvelle de ce dossier : aucun mot de passe, aucune donnée bancaire, aucun IBAN. Le scénario redouté en France de la fraude au prélèvement, que nous avions détaillé lors du piratage des IBAN chez Free, ne s'applique donc pas ici.

Face à ces écarts de formulation, la seule source qui fait foi pour votre situation personnelle est la notification que l'enseigne vous a adressée. Conservez-la. En cas de doute sur son périmètre, l'article 15 du règlement européen vous permet de demander au commerçant la liste exacte des catégories de données le concernant qui ont été exposées, ainsi que l'identité des destinataires.

Le vrai danger : un hameçonnage calibré sur votre historique d'achat

La combinaison identité, téléphone et contexte de livraison alimente ce que les spécialistes appellent le spear-phishing, autrement dit l'hameçonnage ciblé : un message écrit pour une personne, et non diffusé en masse. Décliné par SMS, on parle de smishing.

Trois scénarios sont directement prévisibles à partir des données concernées :

• Le faux frais de dédouanement. Un SMS annonce un colis bloqué et réclame quelques euros de complément d'affranchissement. L'objectif n'est pas la somme, mais la saisie de votre carte sur une page imitant celle du transporteur.
• Le faux service après-vente. Un appel se présente comme le service client de l'enseigne, cite votre commande réelle et propose un remboursement moyennant la « vérification » de vos coordonnées bancaires. C'est la mécanique que nous décrivions à propos du faux conseiller bancaire, appliquée au commerce en ligne.
• Le lien de suivi falsifié. Un message reprend un numéro de suivi crédible et renvoie vers une page qui installe une application malveillante sur le téléphone, ou collecte vos identifiants. Nous avions analysé cette famille d'arnaques dans notre article sur l'arnaque au colis par note vocale.

Ces tentatives n'arrivent pas nécessairement dans les jours qui suivent. Un fichier de contacts qualifiés se revend, se recoupe avec d'autres fuites, et ressort parfois des mois plus tard. C'est pourquoi la vigilance ponctuelle ne suffit pas : activer une surveillance continue du darknet sur vos adresses et numéros vous prévient au moment où vos coordonnées réapparaissent dans un nouveau lot, et non le jour où le message frauduleux atterrit sur votre téléphone.

Vous pouvez également vérifier gratuitement si votre adresse e-mail figure déjà dans des fuites connues, ce qui donne une première mesure de votre exposition avant même cet incident.

Ce que le RGPD impose à l'enseigne, et ce que vous pouvez exiger

Le point de droit le plus mal compris dans ce type d'affaire est le suivant : ce n'est pas le prestataire piraté qui doit vous informer, c'est le commerçant auprès de qui vous avez commandé. En qualité de responsable de traitement, c'est lui qui a décidé de confier vos données à Shipup, et c'est donc à lui qu'incombent les obligations vis-à-vis de vous.

Concrètement, le règlement européen articule trois exigences :

• Encadrer le sous-traitant (art. 28) : le recours à un prestataire doit faire l'objet d'un contrat imposant des garanties de sécurité, et le responsable doit vérifier ces garanties, pas seulement les recevoir sur le papier.
• Notifier la CNIL sous 72 heures (art. 33) : le délai court à compter de la prise de connaissance de la violation. Le sous-traitant, de son côté, doit alerter l'enseigne dans les meilleurs délais.
• Vous informer individuellement (art. 34) : obligatoire lorsque la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés. Le message doit décrire la nature de la violation, les conséquences probables et les mesures prises.

Si vous estimez avoir été informé tardivement ou de façon incomplète, vous pouvez adresser une réclamation à la CNIL. L'autorité rappelle par ailleurs, dans ses conseils aux personnes touchées par une fuite de données, qu'elle ne peut pas confirmer elle-même la présence de vos données dans un fichier compromis : cette question se pose directement à l'organisme concerné. Ceci n'est pas un conseil juridique.

Sept mesures à prendre cette semaine

Aucune de ces actions ne demande de compétence technique. Elles se classent par ordre d'efficacité décroissante.

• Ne suivez plus aucun colis depuis un lien reçu. Ouvrez votre compte client sur le site de l'enseigne, ou saisissez le numéro de suivi directement sur le site du transporteur. Cette seule habitude neutralise l'essentiel du risque issu de cette fuite.
• Traitez tout appel entrant comme non identifié. Un interlocuteur qui connaît votre commande ne prouve rien : cette information a précisément fuité. Raccrochez et rappelez le numéro figurant sur votre facture.
• Activez la double authentification sur les comptes marchands concernés. Les mots de passe ne sont pas touchés ici, mais une adresse e-mail identifiée devient une cible pour des tentatives de connexion automatisées. Notre guide des mots de passe détaille la marche à suivre.
• Conservez la notification reçue. Elle constitue la preuve de votre qualité de personne concernée, utile pour toute démarche ultérieure, y compris collective.
• Fermez les comptes marchands dormants. Chaque compte inactif conserve des coordonnées vivantes et les diffuse à ses propres prestataires. C'est de la surface d'attaque gratuite.
• Cloisonnez vos adresses. Une adresse dédiée aux achats en ligne, distincte de votre adresse principale, transforme la prochaine fuite de ce type en simple nuisance isolable.
• Faites le compte de vos expositions passées. Les fuites se recoupent : c'est l'accumulation, plus que l'incident isolé, qui rend un profil exploitable. Nos repères pour savoir si une fuite vous concerne vous aideront à faire cet inventaire.

Le dispositif national d'assistance aux victimes propose par ailleurs une fiche réflexe officielle en cas de fuite de données personnelles, utile à conserver si de nouvelles notifications vous parviennent.

Ce que cet incident dit de votre exposition réelle

Un enseignement mérite d'être tiré au-delà du cas d'espèce. Vous pouvez choisir vos commerçants avec soin, lire leurs politiques de confidentialité, limiter les informations que vous saisissez : vous n'avez aucune prise sur la liste de leurs prestataires, ni sur le niveau de mise à jour de leurs outils internes. Le maillon faible se situe systématiquement à un endroit que vous ne voyez pas.

Il en découle une conclusion inconfortable mais opérationnelle : réduire l'exposition ne passe pas par une meilleure sélection, elle passe par une réduction du nombre de copies de vos données en circulation. Chaque fichier supprimé chez un courtier, chaque compte ancien fermé, chaque coordonnée retirée d'une base commerciale, c'est un incident futur qui ne vous concernera pas. Confier ce travail d'effacement à un service qui suit les délais de réponse évite d'avoir à recommencer l'exercice à chaque nouvelle alerte.

Les chiffres publiés par la CNIL confirment que cette dispersion n'est plus un phénomène marginal : nous en avions détaillé l'ampleur dans notre analyse du bilan record des fuites de données en France.

Questions fréquentes

Je n'ai reçu aucun message. Suis-je concerné ?

Rien ne permet de l'affirmer. Les notifications sont envoyées par vague et enseigne par enseigne, et seules les personnes dont les données figuraient effectivement dans le périmètre consulté doivent être informées. Vérifiez le dossier « indésirables » de votre messagerie, puis interrogez directement le service client de l'enseigne concernée.

Dois-je changer mon mot de passe ?

Ce n'est pas requis par cet incident, aucun identifiant n'ayant été exposé. Cela reste une bonne mesure d'hygiène si vous réutilisez le même mot de passe sur plusieurs sites marchands, situation dans laquelle une fuite ancienne suffit à compromettre un compte récent.

Puis-je demander une indemnisation ?

Le règlement européen prévoit une réparation du préjudice matériel ou moral résultant d'une violation. La jurisprudence exige toutefois la démonstration d'un préjudice réel, et non la seule crainte d'un usage abusif. Conservez la notification et tout élément de suivi, notamment si des tentatives d'escroquerie exploitant ces données vous parviennent. Ceci n'est pas un conseil juridique.

Faut-il surveiller mon compte bancaire ?

Aucune donnée de paiement n'est concernée par cette fuite. Une lecture attentive de vos relevés reste une habitude saine, notamment parce que les faux remboursements constituent l'un des prétextes les plus utilisés après ce genre d'incident.