Fuite chez Boulanger

Dans la nuit du 6 au 7 septembre 2024, Boulanger — grande enseigne française de distribution d'électronique grand public — a été victime d'une cyberattaque ayant exposé les données personnelles de plusieurs centaines de milliers de clients. L'entreprise a révélé l'incident publiquement le 8 septembre, précisant que les informations compromises étaient liées aux livraisons et qu'aucune donnée bancaire client n'était concernée.

L'incident n'était pas isolé. À la même période, les enseignes françaises Cultura et Truffaut ont signalé des fuites très similaires, et la presse a attribué cette vague à un prestataire informatique/de livraison externe commun aux entreprises touchées — ce qui en fait une compromission par un tiers (chaîne d'approvisionnement) plutôt qu'une intrusion directe des systèmes propres à Boulanger.

Les catégories de données exposées comprenaient :

• Nom et prénom
• Adresse e-mail
• Adresse postale (de livraison)
• Numéro de téléphone

Un cybercriminel a ensuite mis en vente une base de données liée à Boulanger d'environ 27,5 millions de lignes de logs, même si des chercheurs en sécurité ont mis en doute l'authenticité et l'ampleur de cette annonce ; Boulanger a pour sa part évoqué une exposition touchant plusieurs centaines de milliers de clients. L'entreprise a indiqué que l'incident avait été circonscrit, que ses sites web et applications fonctionnaient normalement sous vigilance renforcée, et a invité ses clients à rester attentifs aux tentatives d'hameçonnage et de fraude sur le thème des livraisons exploitant les données dérobées.