Fuite chez Alltricks

Le 12 août 2025, Alltricks — cybermarchand français d'équipements de cyclisme, de running et de sports outdoor — a révélé une intrusion dans son système d'envoi d'e-mails marketing. Dès le matin du 11 août, des clients ont reçu des messages d'apparence parfaitement authentique : envoyés depuis le domaine légitime de la marque (r.sb3.alltricks.com), ils passaient l'ensemble des contrôles SPF, DKIM et DMARC, les rendant invisibles aux filtres anti-phishing classiques.

Ces messages constituaient en réalité une campagne de phishing. Ils invitaient les destinataires à renouveler leur mot de passe ou à ouvrir des fichiers Excel et des documents OneDrive, menant vers de fausses pages destinées à dérober leurs identifiants. L'attaque a été reliée à une compromission du compte utilisé par Alltricks chez son prestataire d'emailing Sendinblue (Brevo) : les pirates ont détourné l'infrastructure d'envoi de confiance du marchand pour diffuser les pièges.

Les catégories de données exposées semblent inclure :

• Nom et prénom des clients
• Adresses e-mail
• Historique d'achat / de transactions (utilisé pour personnaliser les pièges)

Alltricks a indiqué qu'aucune donnée de paiement ou bancaire n'était concernée. L'entreprise a alerté ses clients le jour même, les a invités à ne pas ouvrir les messages, a déclaré mettre en place des mesures pour sécuriser son système et a indiqué qu'elle notifierait la CNIL comme l'exige la loi. Une enquête interne a été ouverte pour déterminer l'ampleur exacte d'une éventuelle exfiltration de données. (Cette intrusion du système d'emailing d'août 2025 est distincte d'une autre fuite, plus vaste, de la base clients d'Alltricks signalée ultérieurement.)