Leroy Merlin : plus de 367 000 clients exposés dans une fuite liée au programme Leroy&moi

Le 6 mai 2026, Leroy Merlin — l'enseigne française de bricolage et d'équipement de la maison — a été exposée lorsqu'un acteur malveillant utilisant le pseudonyme Lagui a publié une base de données clients sur un forum cybercriminel, accompagnée d'un échantillon de fiches destiné à en prouver l'authenticité. Les données étaient attribuées au programme de fidélité Leroy&moi de l'enseigne, et non à l'ensemble de ses systèmes.

Selon l'auteur de la fuite, les données ne proviendraient pas d'une intrusion dans le système mais d'un scraping automatisé mené pendant plusieurs semaines contre la plateforme de fidélité Leroy&moi, exploitant des protections insuffisantes contre les requêtes automatisées. La fuite porte sur 367 462 profils clients complets.

Les données exposées comprendraient :

• Noms complets et dates de naissance
• Adresses e-mail et numéros de téléphone
• Adresses postales
• Détails du programme de fidélité, statut du compte et historique de connexion
• Informations personnelles supplémentaires telles que la situation matrimoniale et le nombre d'enfants

Leroy Merlin a indiqué qu'aucune donnée financière ou bancaire ni aucun mot de passe de compte n'avaient été compromis. L'entreprise a précisé que ses équipes de sécurité étaient intervenues rapidement pour bloquer les accès non autorisés dès la détection de l'activité et avaient pris des mesures pour empêcher toute fuite supplémentaire tout en poursuivant la surveillance de leurs systèmes. Le principal risque résiduel pour les clients concernés est une recrudescence des tentatives de phishing et d'ingénierie sociale, notamment des arnaques sur le thème de la fidélité et des tentatives d'usurpation d'identité.