Arsène Valentin : des données clients exposées après l’injection d’un code malveillant sur le site

Le 8 mai 2026, Arsène Valentin — e-commerçant français spécialisé dans la cigarette électronique et les e-liquides, doté d’un réseau de boutiques franchisées en France — a informé ses clients avoir détecté la présence d’un code malveillant sur son site internet, susceptible d’avoir exposé leurs données personnelles.

L’entreprise décrit une compromission de type web-skimming : des attaquants ont injecté un code malveillant sur le site marchand, potentiellement via un plugin vulnérable, une dépendance compromise ou un accès administrateur détourné. Le point d’entrée exact n’a pas été confirmé dans la communication.

Les données personnelles potentiellement exposées comprenaient :

• Nom et prénom
• Adresses e-mail
• Adresses postales
• Numéros de téléphone
• Dates de naissance
• Historique de commandes

Arsène Valentin a précisé qu’aucune donnée bancaire n’est stockée sur ses serveurs et qu’aucun usage malveillant des informations concernées n’avait été détecté au moment de l’annonce. Le nombre de clients touchés n’a pas été communiqué.

L’entreprise a signalé l’incident à la CNIL et indique avoir sécurisé son infrastructure immédiatement après la découverte de l’intrusion. Les clients ont été invités à changer leurs mots de passe et à rester vigilants face aux tentatives de phishing, la combinaison de données personnelles et d’historique d’achat pouvant permettre des messages frauduleux très crédibles usurpant l’identité de la marque.