Fuite chez Chronopost

Le 20 décembre 2025, Chronopost — la filiale de livraison express du groupe La Poste — a été touchée par la publication d'un important jeu de données clients sur le forum cybercriminel BreachForums. Un attaquant a diffusé un fichier JSON de 680 Mo qui contiendrait les données personnelles d'environ 860 000 personnes, affirmant que ces enregistrements n'avaient jamais circulé auparavant et provenaient directement de sa propre extraction.

L'attaquant indique avoir collecté les données en aspirant (« scraping ») les systèmes « Pickup » de Chronopost — le réseau utilisé pour déposer et retirer les colis dans des points relais — plutôt que par une intrusion directe dans les serveurs. Cela suggère des interfaces web ou des API insuffisamment protégées, ayant permis une collecte automatisée massive d'informations sur les envois et les destinataires. Les enregistrements concernés couvraient des envois traités entre le 25 février et le 10 avril 2025 environ.

Les catégories de données exposées comprenaient :

• Nom et prénom
• Adresses e-mail
• Numéros de suivi / références de colis
• Détails des colis (dimensions, codes-barres)
• Noms et emplacements des points relais

Chronopost a confirmé l'incident et l'a rattaché à une vulnérabilité identifiée et « activement traitée » au printemps 2025, conformément à la réglementation en vigueur. Si la faille à l'origine de la fuite avait été corrigée à l'époque, la publication massive de décembre 2025 a ravivé l'exposition des clients concernés, désormais exposés à des risques élevés d'hameçonnage et de smishing très crédibles. Cet événement est distinct de la fuite Chronopost de janvier 2025, qui avait touché environ 210 000 clients.