Des clients d'Ultra Premium Direct qui avaient échangé avec le service client de la marque ont été prévenus par courrier électronique que leurs données avaient été extraites lors du piratage de l'un de ses prestataires techniques. Le nombre de personnes concernées est estimé entre 12 000 et 25 000. La marque française, exploitée depuis Bordeaux, vend en ligne et par abonnement de l'alimentation pour chiens et chats.
Ce qu'Ultra Premium Direct a annoncé à ses clients
L'entreprise, exploitée par la société Natura Plus Ultra Pet Food, indique avoir été informée le 24 août 2026 par un prestataire intégré à sa plateforme de service client. Celui-ci aurait subi une attaque exploitant une faille de ses systèmes, qui a conduit à l'extraction de données dont une partie concerne les clients de la marque. Ultra Premium Direct déclare avoir coupé l'accès le jour même, notifié la violation à la CNIL le 26 août 2026 et porté plainte auprès des services de police.
Les données citées proviennent des échanges avec le service client : selon les cas, le nom et le prénom, l'adresse électronique, le numéro de téléphone et le contenu des demandes (objet, références de commande, correspondance). L'entreprise exclut explicitement les mots de passe et les données de carte bancaire, qu'elle déclare ne pas héberger chez ce prestataire. Elle ne communique aucun volume.
Un prestataire identifié par recoupement
Ultra Premium Direct ne nomme pas son prestataire. L'incident correspond toutefois à la compromission de Klark, éditeur français d'une plateforme de service client fondée sur l'intelligence artificielle, mise en vente sur un forum cybercriminel le 24 août 2026 et dont la marque fait partie des organisations clientes. Environ 34 000 conversations de service client sont rattachées à l'enseigne dans cet incident.
Le contenu d'une conversation avec un service client en dit souvent plus qu'une simple adresse : il peut mentionner une commande, un problème de livraison ou un abonnement en cours. Associé au nom, au courriel et au téléphone, ce contexte permettrait de rédiger des messages frauduleux qui reprennent de vrais échanges et paraissent venir de la marque.
Détails techniques :
- Prestataire ayant informé l'entreprise le 24 août 2026, accès coupé le jour même
- CNIL notifiée le 26 août 2026, plainte déposée
- Environ 34 000 conversations de service client rattachées à l'enseigne
- Personnes concernées estimées entre 12 000 et 25 000
- Incident rattaché à la compromission de Klark, prestataire non nommé par l'entreprise
Données concernées :
- Nom complet
- Adresse email et numéro de téléphone
- Tickets de support et contenu des messages échangés
- Historique de commandes (références de commande) et montants
- Fiche client, identifiant interne et champs libres
- Données professionnelles
Données annoncées non vérifiées :
- Mot de passe (haché), secret de double authentification et clé d'accès ou d'API, catégories recensées pour cet incident alors que l'entreprise exclut les mots de passe et les données de carte bancaire de ses clients
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise