Les clients et anciens clients d'Easypara ont été informés que leur nom, leur prénom, leur adresse électronique et, s'il était renseigné, leur numéro de téléphone ont pu être consultés par des tiers non autorisés. L'incident ne vient pas de la parapharmacie en ligne elle-même, mais du piratage de Shipup, le prestataire qui envoie les communications de suivi de livraison de ses commandes.
Une faille de Metabase chez le prestataire d'Easypara
Éditée par la société Easyparapharmacie, Easypara exploite le site easypara.fr. Selon sa notification, Shipup a subi une cyberattaque liée à une vulnérabilité jusqu'alors inconnue de Metabase, un outil d'analyse qu'il utilise, exploitée dans le cadre d'une vague mondiale. Des tiers non autorisés ont pu accéder à des données entre le 31 juillet et le 17 août 2026, date à laquelle la faille a été corrigée et les accès bloqués. Le prestataire a engagé des mesures correctrices renforcées, sous le contrôle d'Easypara.
Ni données bancaires ni mots de passe
Easypara déclare qu'aucune donnée bancaire n'est concernée, les informations de paiement ne transitant pas par le système affecté. Les mots de passe ne sont pas concernés non plus. L'entreprise ne communique aucun volume, sa notification parlant seulement de certains clients, et ne se prononce pas sur une extraction effective des données au-delà de l'accès. Cet incident s'inscrit dans une série de compromissions d'installations de Metabase visant des organisations françaises depuis le mois d'août 2026.
Comme les données proviennent d'un service de suivi de livraison, un faux avis de colis ou un faux message de commande se réclamant d'Easypara pourrait paraître d'autant plus plausible. Le nom et le numéro de téléphone permettent aussi de décliner ces tentatives par SMS ou par appel.
Détails techniques :
- Accès possible du 31 juillet au 17 août 2026
- Vulnérabilité jusqu'alors inconnue de Metabase, outil d'analyse utilisé par Shipup
- Faille corrigée et accès bloqués le 17 août 2026
- Informations de paiement ne transitant pas par le système affecté
- Extraction effective et volume non communiqués
Données concernées :
- Nom complet, prénom et nom
- Adresse email
- Numéro de téléphone (lorsqu'il est renseigné)
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise