Clients, restaurateurs partenaires et livreurs de Delicity sont concernés par une cyberattaque ayant permis un accès non autorisé à leurs données, survenu entre le 9 et le 24 août 2026. La plateforme française de commande et de réservation en ligne pour restaurants indépendants, exploitée par la société niçoise Pedro, en a informé les personnes concernées le 2 septembre 2026 sur son site.
Une faille de Metabase à l'origine du piratage de Delicity
Selon Delicity, un tiers non autorisé a exploité une faille critique de Metabase, un logiciel d'analyse qu'elle utilise en interne. Cette faille avait été rendue publique le 6 août 2026, trois jours avant le début de la période d'accès déclarée. La plateforme dit avoir découvert l'intrusion le 24 août à 9h37, pris une première mesure de sécurisation deux minutes plus tard et coupé l'accès le jour même. Elle affirme que l'accès s'est limité à de la lecture, sans modification, mais ne se prononce pas sur une éventuelle copie des données.
Des données différentes pour chaque population
Pour les clients ayant commandé ou réservé, la plateforme cite le nom et le prénom, l'adresse électronique et le numéro de téléphone, puis, selon les cas, le mot de passe sous forme chiffrée, l'adresse de livraison, l'historique des commandes, les quatre derniers chiffres d'une carte bancaire et le contenu des SMS envoyés par Delicity. Les restaurateurs partenaires sont plus exposés : s'y ajoutent leurs coordonnées bancaires, leurs exports comptables mensuels, leur pièce d'identité, leur justificatif de domicile et leur extrait KBIS. Pour les livreurs, la liste comprend les coordonnées bancaires, l'extrait KBIS, les photos de validation du véhicule ou de l'équipement et la géolocalisation liée aux courses passées. Les numéros de carte complets, les cryptogrammes et les mots de passe en clair sont écartés.
Pour les restaurateurs et les livreurs, la réunion d'une pièce d'identité, d'un justificatif de domicile et de coordonnées bancaires pourrait faciliter une usurpation d'identité ou des demandes de paiement frauduleuses. Côté clients, le nom, le téléphone et l'historique des commandes permettent d'imiter de façon crédible un message de la plateforme ou d'un restaurant. Delicity déclare avoir notifié la CNIL, déposé plainte auprès du procureur de la République et prévenu chaque personne par courriel ou par SMS, sans communiquer le nombre de personnes concernées.
Détails techniques :
- Accès non autorisé du 9 au 24 août 2026, en lecture seule selon la plateforme
- Faille exploitée : CVE-2026-72898 (Metabase), rendue publique le 6 août 2026
- Découverte le 24 août 2026 à 9h37, première mesure de sécurisation deux minutes plus tard, accès coupé le jour même
- Copie effective des données non précisée
- Numéros de carte complets et cryptogrammes non conservés, mots de passe en clair non concernés selon l'entreprise
- CNIL notifiée, plainte déposée auprès du procureur de la République
Données concernées :
- Nom complet, prénom et nom
- Adresse email et numéro de téléphone
- Mot de passe (haché)
- Adresse postale de livraison
- Historique de commandes
- Contenu des SMS envoyés par la plateforme
- Carte de paiement (quatre derniers chiffres)
- IBAN, BIC et coordonnées bancaires (restaurateurs et livreurs)
- Documents : exports comptables mensuels, justificatif de domicile, extrait KBIS
- Pièce d'identité
- Photos de validation de véhicule ou d'équipement
- Géolocalisation liée aux courses passées
- Données professionnelles
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise