Fuite chez E.Leclerc

Le 24 janvier 2025, E.Leclerc — la coopérative de distribution française — a révélé une fuite de données touchant sa division Prime énergie, la plateforme qui verse les primes liées aux économies d'énergie (certificats d'économies d'énergie) pour les projets d'électricité, de gaz et de carburant. L'incident s'est limité au service de primes énergie et n'a pas concerné l'activité principale de distribution alimentaire du groupe.

Selon l'enseigne, les investigations de sécurité ont mis au jour des tentatives d'accès frauduleux aux comptes clients Prime énergie. Un premier email du 17 janvier 2025 invitait les utilisateurs à modifier leur mot de passe ; un second, envoyé le 24 janvier, a confirmé que des données personnelles avaient été exposées. E.Leclerc a désactivé les comptes concernés, imposé la réinitialisation des mots de passe et invité les clients à changer tout identifiant réutilisé sur d'autres services.

Les données exposées comprenaient :

• Nom et prénom
• Adresse email
• Identifiants d'accès au compte (pouvant inclure mots de passe ou empreintes de mots de passe)
• Numéro de dossier
• Montant de prime
• Libellé de prestation

E.Leclerc a notifié la fuite à la CNIL. Le nombre de clients concernés n'a pas été rendu public. L'exposition des identifiants de compte faisait craindre des campagnes de phishing et de credential-stuffing visant les victimes, d'où la recommandation de l'enseigne de réinitialiser les mots de passe sur l'ensemble des services.