Fuite chez Système U

Le 24 avril 2026, Système U — la coopérative de distribution française regroupant les enseignes Super U, Hyper U, U Express et Utile — a commencé à informer ses clients que son espace fidélité magasins-u.com avait été visé par une cyberattaque malveillante. La coopérative a détecté une activité suspecte et confirmé qu'un attaquant externe avait obtenu un accès non autorisé à un certain nombre de comptes de fidélité.

L'intrusion a ciblé l'espace fidélité en ligne et non les systèmes de paiement. Les éléments rapportés évoquent des tentatives de connexion automatisées et massives (compatibles avec une attaque de type « credential stuffing »), à la suite desquelles Système U a renforcé ses protections anti-robots et ajouté des barrières techniques pour bloquer les tentatives de reconnexion frauduleuses. Aucune méthode d'attaque n'a été officiellement nommée par l'enseigne.

Les données personnelles exposées comprenaient notamment :

• Nom et prénom, ainsi que civilité et statut professionnel/client
• Adresse email et adresse postale
• Numéro de téléphone
• Numéro de carte de fidélité (Carte U)

Système U a indiqué qu'aucune donnée bancaire n'avait été compromise — aucun numéro de carte, IBAN ni information de paiement n'a fuité. La coopérative a notifié la CNIL dans le délai de 72 heures prévu par le RGPD et a invité ses clients à modifier leur mot de passe sur magasins-u.com et à réinitialiser le code PIN à quatre chiffres de leur Carte U en magasin avec une pièce d'identité. Le principal risque résiduel est l'hameçonnage ciblé exploitant les coordonnées dérobées.