10 816 clients de Canada Goose dans une fuite de données

Le 18 mars 2026, Canada Goose — la marque canadienne de vêtements de luxe — a vu des clients français touchés par une importante fuite de données initialement apparue en février 2026, diffusée par le groupe d'extorsion ShinyHunters. Le sous-ensemble français mis en avant par les trackers concerne 10 816 clients, au sein d'un corpus bien plus large d'environ 600 000 dossiers clients (un fichier JSON de 1,67 Go) publié sur le site de fuite du groupe.

ShinyHunters a affirmé que ces données ne provenaient pas de l'infrastructure de Canada Goose, mais d'un prestataire de paiement tiers compromis vers août 2025. Canada Goose a indiqué n'avoir « aucune indication d'une compromission de ses propres systèmes » et que son analyse n'avait « relevé aucune preuve que des données financières en clair aient été concernées », tout en reconnaissant qu'un jeu de données historique relatif à d'anciennes transactions clients avait été publié en ligne.

Les enregistrements exposés comprenaient, selon les éléments rapportés :

• Noms des clients, adresses e-mail et numéros de téléphone
• Adresses de facturation et de livraison
• Adresses IP, informations sur l'appareil et le navigateur
• Historiques et montants des commandes
• Données partielles de cartes de paiement (marque de la carte, quatre derniers chiffres et, dans certains cas, les six premiers chiffres du BIN) ainsi que des métadonnées d'autorisation de paiement

À la date du signalement, l'incident restait en cours d'investigation : Canada Goose analysait le jeu de données pour en évaluer l'exactitude et l'ampleur, n'avait pas confirmé de décompte définitif des clients touchés, et le corpus demeurait accessible publiquement sur le site de fuite des attaquants.