Une douzaine de clients de Kaffir, boutique en ligne de feuilles de combava, pourraient voir leur adresse de livraison et le détail de leurs commandes exposés après un piratage présumé. Selon la revendication publiée le 28 juillet 2026 sur un forum cybercriminel, la base complète du site marchand aurait été mise en diffusion gratuite, avec un extrait de ses adresses de commande.
Qui sont les clients de Kaffir concernés
Kaffir est exploitée par la société L'Arrange Maison, à Saint-Cyr-en-Val dans le Loiret, et vend des feuilles de combava. Le fichier mis en ligne par un hacker exposerait un nombre restreint de personnes, de l'ordre d'une douzaine d'identités distinctes. Il s'agirait de clients ayant commandé entre février et mai 2026, dont figureraient l'identité, les coordonnées, les adresses de livraison et l'historique des commandes, avec les montants et les paiements associés.
Une sauvegarde qui dépasserait le fichier clients
D'après l'annonce, le lot correspondrait à une sauvegarde complète de la base du site, configuration et éléments d'accès compris. Il déborderait donc largement de la seule clientèle : on y trouverait des identifiants de connexion, des mots de passe sous forme chiffrée, des clés d'accès et des éléments de session, ainsi que des adresses IP, des informations sur les appareils utilisés et le contenu de messages.
Pour les clients, le nombre réduit de personnes ne réduit pas le risque individuel. Des commandes récentes, avec l'adresse et le téléphone, permettent d'écrire des messages frauduleux très crédibles, évoquant une livraison ou un remboursement. Pour la boutique, la présence d'éléments d'accès et de configuration pourrait permettre de revenir sur le site si ces accès n'ont pas été changés. Le fichier serait proposé au téléchargement, et l'entreprise n'a pas confirmé publiquement ces éléments à ce stade.
Détails techniques :
- Sauvegarde complète annoncée de la base du site, configuration et éléments d'accès compris
- Extrait de la table d'adresses de commande publié avec l'annonce
- De l'ordre d'une douzaine d'identités distinctes
- Commandes passées entre février et mai 2026
- Mots de passe hachés, clés d'API, jetons et cookies de session annoncés
Données concernées :
- Nom complet
- Adresse email et numéro de téléphone
- Adresse postale, ville, code postal et pays
- Fiche client
- Historique de commandes, montants et historique de transactions
- Contenu de messages
- Adresse IP et données d'appareil
- Identifiant de connexion et mot de passe (haché)
- Clé d'accès ou d'API, jeton d'authentification et cookie de session
- Identifiant interne
Mentions :
Statut Fuites Infos : Revendiquée