Klark, un éditeur bordelais dont la plateforme d'intelligence artificielle rédige les réponses des services clients de près de 200 enseignes, fait l'objet d'une revendication de fuite de données publiée le 23 août 2026 sur un forum cybercriminel. L'auteur y annonce quatre bases de données, 162 fichiers et plus de 140 Go, et en propose le téléchargement sur plusieurs hébergeurs de fichiers. Le nombre de personnes concernées est estimé à environ 450 000, dans une fourchette de 320 000 à 670 000. À ce stade, l'éditeur n'a pas communiqué publiquement sur l'incident.
Un maillon discret entre les marques et leurs clients
Klark est une société par actions simplifiée immatriculée au registre du commerce de Bordeaux, établie à Talence en Gironde et créée en juillet 2023. Elle a levé 1,7 million d'euros quelques mois après sa création. Son produit se branche sur les outils de service client des entreprises qui l'utilisent, analyse les conversations déjà traitées et suggère aux agents la réponse à envoyer.
Cette position explique la portée de l'incident. L'entreprise visée compte une poignée de salariés, mais elle traite pour le compte de ses clients l'intégralité de leur relation client écrite. Les personnes qui se retrouveraient exposées ne sont donc pas ses propres salariés : ce sont les agents de service client des enseignes qui l'emploient, et surtout les clients finaux de ces enseignes, c'est à dire des consommateurs ordinaires ayant un jour écrit à un service après vente.
Les enseignes citées ne sont pas les victimes de l'attaque
La revendication porte sur 192 organisations clientes. Les quinze les plus représentées en volume de conversations sont ESL FACEIT Group, Showroomprivé, Vestiaire Collective, Upway, Alltricks, Cultura, Side, Back Market, Santévet, Ultra Premium Direct, La Fourche, Ramify, BUT, Tikamoon et Click & Boat. Cinq autres, Mirakl, Wonderbox, Getaround, Swan et Infogreffe, apparaîtraient surtout par leurs équipes de support.
Un point mérite d'être posé clairement, parce qu'il sera la première source de confusion : aucune de ces enseignes n'a été attaquée. Leurs propres systèmes ne sont pas en cause. C'est leur prestataire commun qui est visé, et c'est chez lui que les données auraient été prises. La distinction n'est pas cosmétique : elle détermine qui doit notifier, qui doit répondre aux clients, et vers qui se tourner pour obtenir une information.
Ce que le dépôt contiendrait
Selon la revendication, le dépôt porterait sur trois ensembles distincts.
Les conversations de service client d'abord, avec le motif de chaque demande, sa catégorie et son historique. Une conversation de support n'est pas une donnée anodine : elle dit ce qu'une personne a acheté, ce qui s'est mal passé, ce qu'elle a réclamé. Ce contexte transforme une adresse électronique ordinaire en matière première pour une escroquerie crédible.
Les coordonnées et l'identité des personnes ensuite, soit nom, prénom, adresse électronique, numéro de téléphone et adresse postale, auxquelles s'ajoutent quelques coordonnées bancaires apparaissant dans le corps même des messages, lorsqu'un client communique un relevé d'identité bancaire pour obtenir un remboursement.
Les accès techniques enfin, et c'est la partie la moins visible : les comptes d'accès à la plateforme avec leurs mots de passe sous forme chiffrée et leurs secrets de double authentification, ainsi que les clés et secrets d'interface applicative délivrés à chacune des 192 organisations clientes.
Pourquoi les clés d'intégration comptent autant que les données personnelles
Ces clés sont ce qui permet à la plateforme de dialoguer avec les outils de ticketing et les boutiques en ligne de ses clients. Entre des mains tierces, elles n'exposent pas seulement une donnée passée : elles ouvrent potentiellement un accès vivant à l'outillage de service client d'entreprises qui, elles, n'ont subi aucune intrusion. Leur remplacement est la mesure la plus urgente que peuvent prendre les organisations concernées, indépendamment de toute obligation de notification.
Le dépôt porterait par ailleurs des données arrêtées le jour même de sa publication. Si ce point se confirme, les accès qu'il contient étaient valides au moment de sa diffusion.
Ce que peuvent faire les personnes concernées
Une personne ayant écrit au service client de l'une des enseignes citées ne peut rien retirer de la circulation, mais elle peut se prémunir contre l'usage qui en sera fait. Trois réflexes valent ici plus que les autres.
Se méfier de tout message qui reprend les termes exacts d'un échange réel avec un service après vente, y compris s'il cite un numéro de commande ou un litige authentique : c'est précisément ce que ce type de dépôt permet de fabriquer. Ne jamais communiquer de coordonnées bancaires ni de code reçu par message en réponse à une sollicitation entrante, quelle qu'en soit la vraisemblance. Et changer son mot de passe partout où il aurait été réutilisé, la réutilisation restant le principal multiplicateur de ce genre d'incident.
Ce qui n'est pas établi
La revendication n'a pas été confirmée par Klark, qui n'a pas communiqué publiquement à la date de publication de cet article. Aucune notification à la Commission nationale de l'informatique et des libertés n'est connue, ce qui ne signifie pas qu'elle n'a pas eu lieu : ces notifications ne font pas l'objet d'une publication systématique. Aucune reprise dans la presse française ou étrangère n'a été identifiée avant cet article.
Le nombre de personnes concernées est une estimation encadrée, pas un décompte communiqué : aucun chiffre de personnes n'est avancé par l'auteur de la revendication. La fourchette de 320 000 à 670 000 reflète l'incertitude sur le nombre de demandes qu'une même personne adresse à un service client sur la période couverte.
Mentions
Statut Fuites Infos : Revendiquée. Cette qualification signifie qu'un acteur affirme détenir ces données et que l'organisation visée ne l'a ni confirmé ni démenti publiquement. Elle sera mise à jour si l'éditeur, une autorité ou une juridiction se prononce.
Les entreprises citées comme clientes de la plateforme le sont au titre de leur relation commerciale avec l'éditeur, et non comme cibles d'une attaque les visant directement.