Les utilisateurs de ColisExpat qui ont déposé une copie de leur carte d'identité ou de leur passeport sur la plateforme sont concernés par un incident de sécurité, annoncé le 3 septembre 2026. Le service de réexpédition de colis, exploité par la société française Landmark Global France, indique qu'un tiers non autorisé a eu accès à son environnement et que certaines données personnelles y ont probablement été consultées.
Ce que ColisExpat dit avoir pu être consulté lors du piratage
ColisExpat s'adresse aux personnes qui se font livrer des achats depuis l'Europe ou les États-Unis vers leur pays de résidence. L'entreprise a identifié l'accès le 24 août 2026. Elle cite les pièces d'identité téléchargées par les utilisateurs, les informations de compte et les coordonnées associées (identité, adresse électronique, adresse postale, mot de passe), ainsi qu'un numéro de TVA selon le type de compte. Toutes les personnes concernées n'avaient pas forcément renseigné chacune de ces informations.
Une extraction ciblée que l'entreprise n'exclut pas
Selon ColisExpat, rien ne permet d'établir à ce stade une extraction massive de l'ensemble de la base clients, mais une extraction plus ciblée ou progressive ne peut pas encore être écartée. Ni le nombre de personnes concernées ni la manière dont l'intrusion a eu lieu ne sont précisés. L'entreprise annonce la mise hors ligne de l'environnement compromis, un nouvel environnement avec des identifiants renouvelés, une enquête technique interne et externe, une surveillance continue par un centre de sécurité externe, puis la remise en ligne du site avec une réinitialisation du mot de passe imposée à chaque client. Elle déclare avoir notifié la CNIL et engager les démarches pour déposer une plainte pénale.
Une carte d'identité ou un passeport ne se change pas comme un mot de passe. Associée à une adresse postale et à une adresse électronique, une telle copie pourrait servir à des démarches frauduleuses au nom d'une autre personne. Les clients du service pourraient aussi recevoir de faux messages de livraison se réclamant de ColisExpat, un risque que l'entreprise signale elle-même.
Détails techniques :
- Accès non autorisé identifié le 24 août 2026, information des utilisateurs le 3 septembre 2026
- Données probablement consultées selon l'entreprise
- Aucune extraction massive établie à ce stade, extraction ciblée ou progressive non exclue
- Vecteur de l'intrusion non décrit
- Environnement compromis mis hors ligne, identifiants renouvelés, investigation forensique interne et externe
- Réinitialisation du mot de passe imposée à la première connexion
- CNIL notifiée, plainte pénale en préparation
Données concernées :
- Pièce d'identité (copie de carte d'identité ou de passeport)
- Nom complet, prénom et nom
- Adresse email
- Adresse postale
- Identifiant de connexion et mot de passe
- Identifiant fiscal (numéro de TVA selon le type de compte)
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise