Fuite de données chez E.Leclerc : quand c’est le prestataire d’un géant qui se fait pirater

Nouvelle entrée dans le long feuilleton des fuites de données françaises, et cette fois elle vient de la grande distribution. Allo E.Leclerc, le service client de l’enseigne, a informé par e-mail une partie de ses clients qu’une cyberattaque avait exposé leurs données personnelles. Rien de bancaire ni de mot de passe cette fois, mais un jeu complet de coordonnées, et une histoire qui illustre un angle mort de la sécurité : on a beau se protéger soi-même, on reste exposé par ses sous-traitants.

Car le maillon touché n’est pas E.Leclerc directement, mais l’un de ses prestataires. Décryptage de cette fuite « par ricochet » et des réflexes à adopter si vous êtes client.

Ce que dit E.Leclerc

D’après l’e-mail adressé aux clients concernés, l’incident ne s’est pas produit dans les systèmes de l’enseigne, mais chez un prestataire logistique externe dont les systèmes ont été compromis. LCommerce, la société qui opère le service Allo E.Leclerc, a répercuté l’information à ses clients.

Les données exposées, selon la communication officielle, se limitent à :

• les noms ;
• les prénoms ;
• les adresses e-mail ;
• les numéros de téléphone.

L’enseigne assure qu’aucune information bancaire, aucun identifiant de connexion ni mot de passe n’a été compromis, et indique avoir notifié la CNIL comme l’exige la loi. En revanche, ni le nombre de clients concernés, ni la nature précise de la faille exploitée chez le prestataire n’ont été communiqués. Ce n’est d’ailleurs pas la première alerte pour l’enseigne : en 2025, des tentatives d’accès frauduleux avaient déjà visé des comptes Primes énergie du groupe, poussant les clients à changer leur mot de passe.

Le vrai sujet : l’attaque par la chaîne d’approvisionnement

Cette affaire est l’occasion de comprendre un mécanisme de plus en plus fréquent, et souvent invisible pour le grand public : l’attaque par la chaîne d’approvisionnement (ou supply chain attack).

Le principe est simple et redoutable. Attaquer frontalement un grand groupe, souvent bien défendu, coûte cher aux pirates. Alors ils changent de cible : ils s’en prennent à un prestataire plus petit et moins protégé (logistique, marketing, informatique, gestion de la relation client) qui, lui, détient ou traite les données de ce grand groupe. Une seule intrusion chez ce sous-traitant, et les données de millions de clients de plusieurs enseignes peuvent tomber d’un coup.

C’est exactement le schéma observé dans plusieurs fuites majeures récentes. La fuite chez LastPass est passée par un prestataire d’informations marketing. L’intrusion au fisc a exploité l’accès d’une entreprise partenaire. Le point commun : votre donnée n’est jamais uniquement là où vous l’avez confiée. Elle voyage vers des sous-traitants, des partenaires, des outils tiers, et votre sécurité dépend du maillon le plus faible de toute cette chaîne, sur lequel vous n’avez aucun contrôle.

Pour vous, client, la conséquence est vertigineuse : vous pouvez avoir des mots de passe parfaits et une vigilance sans faille, vos coordonnées peuvent quand même fuiter parce qu’un prestataire dont vous ignoriez jusqu’à l’existence a été piraté. C’est frustrant, mais ça change la façon de penser sa protection.

« Juste des coordonnées » : pourquoi ce n’est pas si anodin

E.Leclerc se veut rassurant, et il est vrai que l’absence de données bancaires ou de mots de passe limite les dégâts directs. Mais un jeu complet nom + e-mail + téléphone, associé au nom d’une enseigne aussi connue, reste une matière première idéale pour le phishing.

Un escroc disposant de ces informations peut fabriquer des messages très crédibles usurpant l’identité d’E.Leclerc :

• un faux e-mail annonçant un « bon d’achat », une « carte fidélité à réactiver » ou un « remboursement » à récupérer via un lien ;
• un faux SMS de « problème de livraison » de commande, d’autant plus crédible que le prestataire touché est justement logistique ;
• un faux appel du « service client » exploitant votre nom pour instaurer la confiance avant de vous soutirer des informations plus sensibles.

Le risque, ici, n’est pas que les données volées suffisent à vous nuire : c’est qu’elles servent d’amorce pour obtenir ce qui manque, à savoir votre mot de passe ou vos coordonnées bancaires, lors d’une seconde interaction bien orchestrée.

Client E.Leclerc ? Les bons réflexes

Si vous avez reçu la notification, ou si vous utilisez les services en ligne de l’enseigne, adoptez ces réflexes :

1. Traitez avec méfiance tout message « E.Leclerc » non sollicité. Bon d’achat inattendu, problème de commande, remboursement : ne cliquez pas sur les liens. Connectez-vous à votre compte en tapant vous-même l’adresse officielle, ou via l’application.
2. Un message qui connaît votre nom n’est pas légitime pour autant. C’est justement ce que la fuite permet aux escrocs. Jugez un message à ce qu’il demande, jamais à ce qu’il sait déjà de vous.
3. Aucun service client ne réclame mot de passe, code reçu par SMS ou coordonnées bancaires par téléphone ou e-mail. Cette règle, à elle seule, déjoue l’essentiel des arnaques.
4. Changez votre mot de passe E.Leclerc s’il est réutilisé ailleurs. Il n’a pas fuité ici, mais si vous l’employez sur d’autres sites, une fuite ailleurs pourrait exposer votre compte. Un mot de passe unique par service reste la meilleure protection : générez-en un solide en quelques secondes avec FortixPass.
5. Surveillez vos autres comptes utilisant la même adresse e-mail, cible probable des campagnes de phishing à venir, et activez la double authentification sur votre messagerie.

Ce qu’il faut retenir

La fuite chez Allo E.Leclerc rappelle une réalité inconfortable : votre sécurité ne dépend pas que de vous, mais aussi de tous les prestataires à qui les entreprises confient vos données. Les attaques par la chaîne d’approvisionnement contournent les défenses des grands groupes en visant leurs maillons les plus faibles, et elles se multiplient.

Face à un risque que vous ne contrôlez pas à la source, la seule stratégie efficace est de rendre vos données inoffensives une fois volées. Des mots de passe uniques par compte, pour qu’une fuite reste isolée. Une double authentification, pour qu’un identifiant seul ne suffise jamais. Et une vigilance de fer face aux messages qui exploiteront ces coordonnées. Partez du principe que vos coordonnées circulent déjà quelque part, et sécurisez ce qui compte vraiment sur FortixPass.