Vague de fuites du 21 août : le prestataire, l'angle mort

Le vendredi 21 août 2026 restera dans les archives des fuites de données françaises. En une seule journée, six organisations ont été ajoutées au registre : Beauty Success, Bureau Vallée, Allobébé, Made in Bébé, la Fédération nationale de Protection civile et l'éditeur Xplor Resamania. Plus de douze millions d'enregistrements sont revendiqués pour les seules quatre enseignes commerciales. Mais le chiffre n'est pas l'information la plus utile de la journée. L'information la plus utile tient dans une phrase du pirate : les données auraient été récupérées chez un prestataire qui exportait chaque jour les fichiers clients des magasins vers un serveur FTP. Cette phrase décrit un mécanisme que presque toutes les entreprises françaises utilisent sans jamais l'avoir regardé en face. Un logiciel de caisse qui envoie la base clients au prestataire de fidélité. Un site e-commerce qui déverse ses commandes chez le routeur d'e-mails. Un ERP qui alimente le cabinet comptable. Un export automatique, tous les matins, dans un fichier plat, vers un serveur de dépôt. Personne ne le regarde parce qu'il fonctionne. Et c'est précisément parce qu'il fonctionne qu'il n'est jamais audité. Nous reprenons ici les éléments documentés au 22 août par FrenchBreaches, qui a publié et analysé les échantillons des six dossiers, et par Journal du Coin, qui a recoupé la journée. Les volumes annoncés sont, sauf mention contraire, des revendications d'attaquants : nous les présentons comme telles d'un bout à l'autre.

La journée du 21 août 2026 en sept repères

Beauty Success (parfumerie, cosmétique) : 5 169 727 enregistrements uniques revendiqués, sur 10 279 819 lignes brutes. Noms, prénoms, e-mails, dates de naissance complètes. Revendiquée, jugée crédible.
Bureau Vallée (fournitures de bureau) : 4 819 927 enregistrements après déduplication, sur 13 725 669 lignes. Particuliers et professionnels, avec raisons sociales et identifiants d'entreprise à 14 chiffres. Revendiquée, jugée crédible.
Allobébé (puériculture) : 2 175 216 lignes pour 1 136 058 personnes revendiquées, sur une période annoncée de 2006 à 2026, avec historiques de commandes et montants. Revendiquée, jugée crédible.
Made in Bébé (puériculture) : plus de 960 000 personnes revendiquées, avec adresses postales, commandes et factures. Revendiquée, jugée crédible.
Protection civile (FNPC) : plus de 525 000 profils de bénévoles et environ 15 000 photographies, via la plateforme eProtec, pour une intrusion remontant à mars 2026 et restée non détectée. Confirmée par la fédération, qui a porté plainte.
Xplor Resamania (logiciel de gestion de salles de sport) : environ 5,3 millions de personnes, adhérents de plusieurs enseignes clientes. Confirmée : un tiers non autorisé a accédé à une base de données clients.
Le pseudonyme misere revendique au moins Beauty Success et Bureau Vallée, et affirme dans les deux cas qu'un même prestataire tiers lui a ouvert l'accès à de nombreuses bases d'entreprises différentes.

Ce qui est confirmé, ce qui est revendiqué, ce qui reste inconnu

Il faut tenir les trois niveaux séparés, sinon l'article devient un compteur et le compteur ne sert à rien. Confirmé : deux incidents sur six le sont par l'organisation elle-même. La Fédération nationale de Protection civile reconnaît une cyberattaque ayant touché sa plateforme eProtec, avec des profils de bénévoles — dont des mineurs enregistrés sous le statut de « cadet » — et a porté plainte. Resamania confirme qu'un tiers non autorisé a accédé à une base de données clients. Revendiqué : les quatre dossiers commerciaux reposent, à ce stade, sur des publications de forum et sur l'analyse d'échantillons de 10 000 lignes. Aucune des quatre enseignes n'a confirmé publiquement l'incident au moment où nous écrivons. Les chiffres cités sont ceux du vendeur, et ce sont des enregistrements dédupliqués, pas des personnes physiques distinctes vérifiées. L'écart est considérable : chez Bureau Vallée, 13,7 millions de lignes brutes deviennent 4,8 millions après une déduplication dont la méthode n'est pas décrite. Nous avions déjà posé cette distinction à propos de la fuite Alaxione, la veille : une colonne présente n'est pas une colonne renseignée, et une ligne n'est pas une personne. Inconnu : l'identité du prestataire. C'est le trou central du dossier, et il est probable qu'il ne se referme pas avant plusieurs jours. Ni FrenchBreaches, ni le pirate lui-même dans les extraits publiés, ne nomment l'intermédiaire. Nous ne le nommerons donc pas non plus, et nous n'avancerons aucune hypothèse : désigner à tort un prestataire français sur la foi d'un message de forum serait exactement le genre d'erreur que ce type d'affaire produit en série.

Dossier	Volume annoncé	Statut	Origine décrite
Beauty Success	5 169 727 enregistrements uniques	Revendiquée (crédible)	Prestataire tiers, selon le pirate
Bureau Vallée	4 819 927 après déduplication	Revendiquée (crédible)	Exports CSV quotidiens des magasins déposés sur un serveur FTP du prestataire ; injection SQL puis reverse shell, selon le pirate
Allobébé	1 136 058 personnes / 2 175 216 lignes	Revendiquée (crédible)	Non précisée
Made in Bébé	Plus de 960 000 personnes	Revendiquée (crédible)	Non précisée
Protection civile (FNPC)	525 000+ profils, ~15 000 photos	Confirmée	Plateforme eProtec, intrusion de mars 2026 non détectée
Xplor Resamania	~5,3 millions de personnes	Confirmée	Accès non autorisé à une base clients de l'éditeur, plusieurs enseignes concernées

Sources : FrenchBreaches, alertes du 21 août 2026. Les volumes « revendiqués » proviennent des publications des attaquants et n'ont pas été confirmés par les organisations concernées.

Le point commun : ce n'est pas l'enseigne qui a fui, c'est l'intermédiaire

Quatre enseignes sans lien capitalistique tombent le même matin, publiées par le même pseudonyme, dans le même format, avec la même mise en scène. La coïncidence est trop forte pour être une coïncidence. Le pirate donne lui-même l'explication : dans la revendication Beauty Success, il écrit que le cas est lié « au même contexte » que sa publication précédente, et qu'un prestataire tiers lui a donné accès à de nombreuses données d'entreprises. Le dossier Bureau Vallée est celui où la description technique est la plus précise, et c'est celui qu'il faut lire attentivement. Selon l'attaquant, le prestataire exportait quotidiennement les données clients de chaque magasin dans des fichiers CSV, déposés ensuite sur un serveur FTP. Il affirme avoir identifié une vulnérabilité d'injection SQL dans l'infrastructure de ce prestataire, y avoir installé un reverse shell — un accès distant maintenu — et avoir conservé cet accès environ un mois.

Selon nos informations, les données issues de cette fuite remonteraient à la période comprise entre 2021 et 2026. Les pirates auraient toujours accès aux systèmes et n'auraient pas été détectés. — FrenchBreaches, mise à jour du 21 août à 18 h 10, dossier Bureau Vallée

Le dossier Resamania raconte la même histoire sous une autre forme : un éditeur de logiciel de gestion pour salles de sport, dont la base clients concerne les adhérents de plusieurs enseignes différentes. Une seule intrusion, plusieurs marques exposées. C'est la structure économique du numérique français qui apparaît en creux : les enseignes ne stockent presque plus leurs données elles-mêmes. Elles les confient à des spécialistes — fidélité, marketing, caisse, logistique, e-mailing, comptabilité — et chacun de ces spécialistes concentre les données de dizaines de clients. Le rendement de l'attaque suit.

L'export CSV quotidien : la pièce la plus banale et la moins surveillée du système d'information

Il faut prendre au sérieux la banalité de ce qui est décrit. Un export CSV quotidien vers un serveur de dépôt n'est pas un montage exotique : c'est la façon la plus courante, en France, de faire dialoguer deux logiciels qui ne se parlent pas nativement. La caisse ne sait pas parler au CRM, alors la caisse produit un fichier et le CRM va le chercher. Le site e-commerce ne sait pas parler au logiciel de comptabilité, alors on programme un export nocturne. Cela marche, cela coûte peu, cela a été mis en place il y a huit ans par un prestataire qui n'est peut-être plus le même aujourd'hui. Ce fichier plat a trois propriétés qui en font une cible idéale, et aucune de ces trois propriétés n'est intuitive. Premièrement, il est complet. Une base de données interrogée par une application ne rend que ce qu'on lui demande ; un export quotidien, lui, contient tout, ligne à ligne, en clair, prêt à être lu dans un tableur. Deuxièmement, il s'accumule. Personne ne purge un répertoire de dépôt : le fichier du 3 mars 2021 est encore là. C'est ce qui explique qu'un attaquant récupère 13,7 millions de lignes là où l'entreprise n'a que 4,8 millions de clients — il a ramassé des centaines d'exports successifs. Troisièmement, il échappe à tous les contrôles. Les droits d'accès, la journalisation, l'authentification à deux facteurs, la politique de mots de passe : tout cela protège l'application. Rien de tout cela ne protège un répertoire FTP. Et il y a le protocole. FTP, tel qu'il a été conçu en 1971, transmet identifiants et contenus en clair. Il existe des variantes chiffrées — SFTP, FTPS — dont l'usage est aujourd'hui la norme professionnelle. Mais le mot « FTP » reste employé pour tout, et il est fréquent qu'une PME ignore laquelle des deux variantes son prestataire utilise réellement. C'est une question à une ligne, et personne ne la pose.

« RGPD : qu'est-ce qu'un responsable de traitement et un sous-traitant ? » — e-santé Occitanie. Vidéo pédagogique antérieure aux faits, qui pose la distinction juridique au cœur de ce dossier : l'entreprise qui décide reste responsable, même quand c'est le prestataire qui détient les fichiers.

Ce que la CNIL écrit noir sur blanc — et que la description du pirate contredit point par point

Le Guide de la sécurité des données personnelles de la CNIL, mis à jour le 14 mars 2024, contient deux fiches qui se suivent immédiatement. La fiche n° 22 traite des échanges avec l'extérieur ; la fiche n° 23 traite de la sous-traitance. Ce sont exactement les deux fiches que décrit, en négatif, la revendication du 21 août. Cette contiguïté n'est pas un hasard éditorial : la CNIL a placé côte à côte les deux règles qui, ensemble, gouvernent la circulation des fichiers clients hors de l'entreprise.

Utiliser un protocole garantissant la confidentialité et l'authentification du serveur destinataire pour les transferts de fichiers (ex. : SFTP ou HTTPS), en utilisant les versions les plus récentes des protocoles. — CNIL, fiche n° 22, « Sécuriser les échanges avec l'extérieur »

La même fiche range explicitement parmi les choses à ne pas faire le fait de « transmettre des fichiers contenant des données personnelles en clair » et celui de « ne pas prévoir la suppression (de préférence automatique) des fichiers transmis à l'aide d'une plateforme de transfert de fichiers ». La seconde phrase est celle que personne ne cite jamais, et c'est pourtant elle qui explique l'accumulation de cinq années d'exports dans le même répertoire.

Ce que décrit la revendication	Ce que demande la CNIL
Exports CSV quotidiens de la base clients	Minimisation : ne transmettre que les données nécessaires à la finalité du traitement, et prévoir leur suppression automatique après usage
Dépôt sur un serveur FTP	Protocole garantissant confidentialité et authentification du serveur destinataire — SFTP ou HTTPS, dans leurs versions les plus récentes
Fichiers lisibles en clair, avec noms, adresses, téléphones, SIRET	Chiffrement des pièces sensibles avant transmission ; transmission du secret par un canal distinct
Injection SQL dans l'infrastructure du prestataire	N'avoir recours qu'à des sous-traitants présentant des garanties suffisantes ; exiger la politique de sécurité des systèmes d'information et les certifications éventuelles
Accès maintenu environ un mois, non détecté	Prévoir contractuellement les règles de gestion et de notification des incidents, avec information du responsable de traitement dans les plus brefs délais
Un intermédiaire donnant accès à « de nombreuses données d'entreprises »	Considérer toute la chaîne de sous-traitance, et non les seuls sous-traitants directs

Colonne de gauche : éléments revendiqués par l'attaquant, non confirmés. Colonne de droite : CNIL, fiches n° 22 et n° 23 du Guide de la sécurité des données personnelles, 14 mars 2024.

La fiche n° 23, elle, contient une phrase qui devrait être affichée dans tous les services achats. Elle est reléguée dans la rubrique « Pour aller plus loin », c'est-à-dire à l'endroit que personne ne lit — et c'est pourtant elle qui décrit exactement la situation du 21 août.

Toute la chaîne de sous-traitance (sous-traitants des sous-traitants) devrait être considérée et non seulement les sous-traitants directs. — CNIL, fiche n° 23, « Gérer la sous-traitance »

Autrement dit : le contrat que vous avez signé avec votre prestataire de fidélité ne suffit pas si ce prestataire confie lui-même l'hébergement des exports à un tiers dont vous ignorez le nom. Le RGPD n'organise pas un transfert de responsabilité vers le bas de la chaîne. L'article 28 du RGPD prévoit l'inverse : c'est le responsable de traitement — l'enseigne, la PME, le commerçant — qui doit s'assurer des garanties, et c'est lui qui devra notifier la violation.

« Les pirates auraient toujours accès » : la phrase qui change la nature du problème

Dans presque toutes les affaires de fuite, l'article se referme sur un constat au passé : des données ont été volées, voici quoi faire maintenant. Ici, la mise à jour publiée par FrenchBreaches le 21 août à 18 h 10 place le dossier au présent. Si l'accès du ou des attaquants est toujours opérationnel et toujours non détecté, alors les exports du 22, du 23 et du 24 août partent également. Cette information est une affirmation, pas une certitude, et nous la présentons comme telle. Mais elle impose une hiérarchie différente dans les réflexes. La première question n'est pas « quelles données sont sorties ? », elle est « le robinet est-il fermé ? ». Concrètement, cela veut dire suspendre les flux sortants avant d'évaluer le préjudice, quitte à casser temporairement une intégration. C'est contre-intuitif pour un dirigeant : couper un flux, c'est arrêter un processus métier. Mais un flux qui alimente un attaquant n'est plus un processus métier.

Vos obligations si vous êtes concerné, même via un prestataire

72 heures. La notification à la CNIL doit intervenir dans les 72 heures suivant la prise de connaissance de la violation, si celle-ci est susceptible d'engendrer un risque pour les droits et libertés des personnes. Le délai court à partir du moment où vous savez, y compris si c'est votre prestataire qui vous prévient.
Le sous-traitant vous alerte, il ne notifie pas à votre place. Il doit vous informer dans les meilleurs délais ; la notification à l'autorité reste votre obligation de responsable de traitement.
Information des personnes. En cas de risque élevé, les personnes concernées doivent être informées individuellement, dans des termes clairs et simples.
Registre interne. Toute violation doit être documentée en interne, même celles qui ne sont pas notifiées.
Le contrat doit déjà le prévoir. Les clauses de gestion et de notification des incidents font partie des mentions attendues au titre de l'article 28 — c'est le moment de vérifier qu'elles figurent dans le vôtre, et pas seulement dans le modèle que vous n'avez jamais signé.

Détail des procédures : CNIL — Les violations de données personnelles et clauses contractuelles types responsable / sous-traitant.

Hauts-de-France : 82 789 commerces, 230 000 salariés, et un pôle national dédié à la donnée client

Ce sujet est régional pour une raison simple et vérifiable : le commerce de détail est le secteur qui compte le plus d'établissements dans la région. Selon les chiffres clés 2024-2025 de la CCI Hauts-de-France, les Hauts-de-France comptent 82 789 établissements de commerce de détail, soit 20,2 % des 410 838 établissements régionaux — la première part de tous les secteurs. Ce commerce emploie 229 979 salariés, soit 8,6 % des effectifs nationaux du secteur, ce qui en fait le troisième employeur régional derrière l'industrie et les services aux entreprises. Le détail sectoriel est presque une cartographie du 21 août. L'hygiène-santé-beauté, catégorie dont relève une enseigne comme Beauty Success, compte à elle seule 20 361 établissements et 35 761 salariés dans la région. La région recense par ailleurs 3 736 commerces de plus de 300 m² pour près de six millions de mètres carrés de surface de vente : autant de points de vente qui produisent, chaque jour, des fichiers clients qu'il faut bien remonter quelque part. Il y a plus significatif encore. Le pôle de compétitivité PICOM by Cap Digital, basé à Lille, est le pôle national dédié aux « prospectives dans le commerce, la distribution et la relation client ». La région qui héberge le pôle français de la relation client est aussi celle qui concentre le plus de commerces. Elle est, mécaniquement, la plus exposée à une attaque qui vise non pas les enseignes mais les intermédiaires qui traitent leurs données clients. Enfin, la structure du tissu régional aggrave le problème plutôt qu'elle ne l'atténue. Sur les 410 838 établissements des Hauts-de-France, 68,8 % n'ont aucun salarié et 23,6 % en ont entre un et neuf. Ce sont des organisations qui n'ont ni DSI, ni délégué à la protection des données, ni contrat de sous-traitance négocié ligne à ligne. Elles ont un prestataire, une facture mensuelle et une confiance. C'est exactement la population que ce type d'attaque rentabilise.

« Cyberattaques : les nouveaux pirates » — franceinfo. Reportage de contexte, antérieur aux faits du 21 août, sur la professionnalisation des acteurs qui revendent des bases de données volées.

Sept vérifications à faire lundi matin sur vos flux sortants

Aucune de ces questions ne demande de compétence technique. Toutes se posent par écrit — l'écrit compte, parce qu'il constitue la trace de votre diligence — à celui qui a installé ou qui maintient vos outils. Envoyez-les en une seule fois, avec une date de réponse attendue.

Quels fichiers sortent de chez nous, chaque jour, et vers qui ? Demandez la liste nominative des flux automatiques : logiciel de caisse, site e-commerce, ERP, paie, comptabilité, e-mailing, programme de fidélité. La plupart des dirigeants découvrent qu'il y en a plus qu'ils ne le pensaient.
Par quel protocole exactement ? La réponse acceptable est SFTP, FTPS ou HTTPS. Si la réponse est « FTP » sans autre précision, demandez confirmation écrite qu'il s'agit d'une variante chiffrée.
Que contient le fichier, colonne par colonne ? Un prestataire de livraison n'a pas besoin des dates de naissance. Un routeur d'e-mails n'a pas besoin des montants de commande. Chaque colonne inutile est une colonne qui fuitera.
Combien de temps les fichiers restent-ils sur le serveur de dépôt ? La bonne réponse est une durée courte et une suppression automatique. Si la réponse est « ils y restent », vous avez trouvé votre priorité.
Qui d'autre a accès à ce serveur ? Demandez la liste des comptes, y compris ceux des anciens prestataires. Les comptes de service oubliés sont un classique.
Votre prestataire sous-traite-t-il l'hébergement, et à qui ? C'est la question de la chaîne complète. Elle est légitime, elle est prévue par le RGPD, et le refus d'y répondre est en soi une information.
Comment serons-nous prévenus en cas d'incident, et sous quel délai ? Si la réponse ne figure pas dans le contrat, faites-la ajouter par avenant. Vous avez 72 heures à compter du moment où vous savez ; vous avez donc besoin de savoir vite.

Et si c'est votre prestataire qui a été compromis ?

Le scénario n'est pas théorique : il s'est produit trois fois cette semaine, avec Resamania, avec le prestataire d'exports décrit dans le dossier Bureau Vallée, et avec le sous-traitant à l'origine de l'incident Suez Eau France signalé le 20 août. Dans ce cas, la séquence est contre-intuitive et vaut d'être apprise à froid. D'abord, obtenez par écrit le périmètre exact : quelles de vos données, sur quelle période, et si l'accès est refermé. Un prestataire en gestion de crise a tendance à minimiser dans les premières heures — non par malveillance, mais parce qu'il ne sait pas encore. Réclamez une mise à jour datée, pas une réponse définitive. Ensuite, votre délai de 72 heures court à partir de ce moment, pas à partir de celui où le prestataire, lui, a découvert l'intrusion. Enfin, ne coupez pas les journaux et ne réinstallez rien avant d'avoir conservé les traces : elles serviront à la fois à l'enquête et à démontrer votre diligence. Sur la partie strictement défensive, les réflexes structurels ne changent pas : maintenir à jour ce qui est exposé sur Internet — nous l'avions détaillé à propos de la faille WordPress WP2Shell de juillet —, contrôler ce que les navigateurs des collaborateurs installent, comme dans l'affaire des 737 fausses extensions VPN, et savoir que le dispositif Cybermalveillance.gouv.fr reste, pour les TPE-PME, la porte d'entrée la plus rapide en cas d'incident.

Pour vos clients : la vague de faux messages arrive maintenant

La séquence est désormais bien établie et nous l'avons décrite il y a trois jours à propos de la campagne de notification de la DGFiP : le moment où l'organisation écrit à ses clients est aussi le moment où les escrocs écrivent. Ici, la matière première est particulièrement bonne pour eux. Un fichier Allobébé associe une identité, une adresse postale, un téléphone, un produit acheté et un montant : un faux message « votre commande n° 4472 n'a pas pu être livrée » devient très difficile à distinguer d'un vrai. Un fichier Bureau Vallée associe une raison sociale, un SIRET et un numéro de client : c'est le matériau exact de la fraude au fournisseur. Trois messages simples à faire passer à vos clients, et à vos équipes qui les reçoivent au téléphone. Premièrement, aucune enseigne ne demande de mot de passe ni de coordonnées bancaires par e-mail ou SMS. Deuxièmement, une date de naissance ou un numéro de client cité dans un message ne prouve rien : ces éléments circulent désormais. Troisièmement, en cas de doute, on ne clique pas sur le lien du message, on retourne sur le site par ses propres moyens. Le mode d'emploi grand public de FrenchBreaches est correct et se transmet tel quel. Le même raisonnement valait déjà pour la fuite SFR de juillet.

Ce qui reste à confirmer

Les zones d'ombre, listées sans les combler

L'identité du prestataire évoqué par l'attaquant, et son rôle exact. Aucune source fiable ne le nomme à ce jour.
La réalité de l'injection SQL et du reverse shell, ainsi que l'affirmation selon laquelle l'accès serait toujours actif : ce sont des déclarations d'attaquant, non vérifiées.
Le nombre de personnes physiques réellement distinctes derrière chaque volume annoncé, et la méthode de déduplication employée.
La confirmation officielle des quatre incidents commerciaux par les enseignes concernées, et l'existence éventuelle de notifications à la CNIL.
Le lien réel entre les quatre dossiers : il repose, à ce stade, sur la déclaration du pirate et sur la simultanéité des publications.
Les suites côté régulateur. À titre de repère d'échelle, une sanction de 5 millions d'euros a été prononcée en janvier 2026 contre France Travail après une fuite de grande ampleur ; rien ne permet d'anticiper une décision comparable ici, et la présence de données de mineurs dans le dossier Protection civile est un facteur d'appréciation parmi d'autres.

Une dernière précision d'honnêteté, qui vaut aussi pour nous. La description technique la plus utile de cette affaire — l'export quotidien, le FTP, la persistance — vient de l'attaquant lui-même. Un attaquant a intérêt à valoriser sa marchandise et à impressionner ses acheteurs. Nous la reprenons parce qu'elle est cohérente avec la structure des données observées dans les échantillons, en particulier l'écart entre lignes brutes et lignes dédupliquées, qui s'explique très bien par l'accumulation d'exports successifs. Cohérent n'est pas prouvé. Mais le mécanisme décrit, lui, existe dans des dizaines de milliers d'entreprises françaises, et c'est cela qui justifie l'article, indépendamment de ce que confirmera l'enquête.

Questions fréquentes

Suis-je concerné si j'ai acheté chez l'une de ces enseignes ?

Il n'existe à ce jour aucune liste officielle de personnes concernées, et les quatre enseignes commerciales n'ont pas confirmé l'incident. Si vous avez un compte client chez Beauty Success, Bureau Vallée, Allobébé ou Made in Bébé, considérez qu'il est prudent d'agir comme si vos coordonnées avaient circulé : changez le mot de passe du compte concerné, et surtout ne réutilisez ce mot de passe nulle part ailleurs. Les données décrites dans les échantillons ne comprennent pas de coordonnées bancaires complètes.

Ma PME travaille avec un prestataire qui détient nos fichiers clients. Que dois-je faire cette semaine ?

Envoyez-lui par écrit les sept questions listées plus haut, en demandant une réponse datée. Vous n'avez pas besoin d'un audit ni d'un budget : vous avez besoin d'une cartographie de vos flux sortants et de la confirmation écrite que les transferts sont chiffrés et que les fichiers déposés sont supprimés automatiquement. Ces deux réponses écartent l'essentiel du risque décrit ici.

Suis-je responsable si c'est mon prestataire qui a été piraté ?

Le RGPD distingue le responsable de traitement — vous, qui décidez de la finalité — et le sous-traitant, qui traite pour votre compte. Le sous-traitant a ses propres obligations et peut être sanctionné, mais votre responsabilité de responsable de traitement demeure : vous devez notifier la violation à la CNIL sous 72 heures et, le cas échéant, informer les personnes. La CNIL rappelle par ailleurs que vous ne devez recourir qu'à des sous-traitants présentant des garanties suffisantes, et que toute la chaîne de sous-traitance doit être considérée.

Un serveur FTP, c'est vraiment dangereux ?

Le protocole FTP historique fait circuler identifiants et contenus en clair : quiconque se trouve sur le chemin peut les lire. Ses variantes chiffrées, SFTP et FTPS, corrigent ce point. Mais le risque décrit dans cette affaire ne tient pas seulement au protocole : il tient au fait qu'un répertoire de dépôt accumule des fichiers complets, en clair, pendant des années, en dehors des protections qui entourent les applications. Chiffrer le transport ne suffit donc pas ; il faut aussi limiter le contenu et purger le stock.

Pourquoi autant de fuites françaises en ce moment ?

Trois facteurs se cumulent. La concentration des données chez des prestataires spécialisés augmente le rendement d'une intrusion unique. La revente de bases est devenue un marché structuré, avec des acteurs qui publient, horodatent et argumentent leurs annonces. Et la documentation de ces incidents s'est nettement améliorée en France, ce qui rend visible une activité qui existait déjà. Une hausse du nombre d'incidents recensés n'équivaut donc pas mécaniquement à une hausse équivalente du nombre d'intrusions.

Ce qu'il faut retenir

Le décompte du 21 août sera peut-être révisé. Certaines revendications seront confirmées, d'autres dégonflées, et l'identité du prestataire finira sans doute par sortir. Rien de tout cela ne change la leçon utile, et cette leçon ne concerne pas seulement les grandes enseignes citées. Depuis deux jours, deux affaires françaises désignent le même angle mort sous deux formes différentes. Hier, c'était l'environnement de préproduction : la copie de votre base que personne ne protège. Aujourd'hui, c'est l'export quotidien : la copie de votre base que personne ne regarde partir. Dans les deux cas, la donnée n'a pas été volée là où on la surveille. Elle a été prise dans son double. La question à poser lundi tient en une ligne, et elle n'a rien de technique : « Quels fichiers contenant des données de nos clients sortent de chez nous chaque jour, par quel canal, et pendant combien de temps restent-ils quelque part ? » Si personne dans l'entreprise ne sait répondre en moins de vingt-quatre heures, la réponse est déjà connue.

Sources

Les volumes des dossiers Beauty Success, Bureau Vallée, Allobébé et Made in Bébé sont des revendications d'attaquants analysées par FrenchBreaches, non confirmées par les enseignes concernées à la date de publication. Les dossiers Protection civile et Xplor Resamania sont, eux, confirmés par les organisations.

FrenchBreaches — alertes du 21 août 2026 : Beauty Success, Bureau Vallée, Allobébé, Made in Bébé, Protection civile, Xplor Resamania.
Journal du Coin, « Fuite de données massive : 5 organisations françaises touchées le même jour », 21 août 2026.
CNIL, Guide de la sécurité des données personnelles (14 mars 2024) : fiche n° 22, Sécuriser les échanges avec l'extérieur et fiche n° 23, Gérer la sous-traitance.
CNIL : chapitre IV du RGPD, article 28, clauses contractuelles types, violations de données personnelles, guide à destination des sous-traitants.
CCI Hauts-de-France, Chiffres clés de l'économie des Hauts-de-France 2024-2025 (données Insee 2020 et Urssaf 2023).
Cybermalveillance.gouv.fr — dispositif national d'assistance aux victimes.