Le 4 septembre 2026, Répar'stores prévenait ses clients qu'un accès non autorisé avait touché l'un de ses environnements informatiques. Dix-sept jours plus tard, le 21 septembre, une base de données présentée comme celle de l'enseigne est mise en vente sur un forum cybercriminel accessible via Tor. Les échantillons publiés à l'appui de cette vente recoupent la notification de l'entreprise sur l'essentiel, et la contredisent sur deux points : la copie des données, que le courrier ne reconnaissait pas, et les mots de passe, qu'il déclarait épargnés.
Un réseau de plus de 320 agences
Répar'stores est l'enseigne de RS FRANCHISE, société immatriculée à Montpellier, tête d'un réseau de franchise qui revendique plus de 320 agences de réparation, de dépannage et de motorisation de volets roulants, stores et portails. Le groupe Somfy en est l'actionnaire majoritaire depuis décembre 2020. Les agences sont des entreprises indépendantes, mais les devis, les factures et les coordonnées de leurs clients sont tenus au niveau du réseau : c'est le franchiseur qui a écrit aux clients finals.
Ce que l'entreprise avait déclaré
Dans son courrier du 4 septembre, Répar'stores indiquait que les informations « ayant pu être consultées » étaient le nom, le prénom, l'adresse électronique, le numéro de téléphone et l'adresse postale, ainsi que l'historique des devis, des factures et des commentaires associés. Elle affirmait qu'aucune donnée bancaire ni aucun mot de passe n'avait été compromis. Elle déclarait avoir informé la Commission nationale de l'informatique et des libertés et déposé plainte.
Le courrier ne donnait aucun volume, aucune date d'intrusion, et ne disait pas si les données avaient été copiées. Il consacrait l'essentiel de ses recommandations à la fraude au paiement, en demandant aux clients de se méfier des factures et relances de paiement reçues « après le 20/08 », sans expliquer ce que marquait cette date.
Ce que la mise en vente annonce
Selon l'annonce, la base compterait 6 150 913 lignes au total, réparties entre fiches clients, commandes et factures. Le vendeur y dénombre 1 866 836 fiches clients, qu'il dit ne pas avoir dédoublonnées. Il estime lui-même le nombre de personnes distinctes à environ un million. Il annonce 20 Go de données triées, tirées d'une base brute de 340 Go qui compterait quelque 7 500 fichiers. Le prix est à débattre.
Ces volumes restent ceux du vendeur. Des échantillons de quelques milliers de lignes ne permettent pas de les vérifier, et l'entreprise n'a communiqué aucun chiffre. Le nombre de personnes réellement concernées n'est donc pas établi.
Ce que montrent les échantillons publiés
Les échantillons mis en ligne par le vendeur comprennent un extrait de fiches clients, un extrait de commandes, un extrait de factures, une table de comptes d'un outil interne et une soixantaine de documents d'approvisionnement. Ils sont cohérents entre eux, avec un même référentiel de codes d'agence d'une table à l'autre, et cohérents avec l'activité du réseau.
Les fiches clients sont très majoritairement celles de particuliers : civilité, nom, prénom, téléphone, adresse électronique et adresse postale, rattachés à une agence. Les commandes et les factures portent sur des sociétés : franchisés, fournisseurs et prestataires, avec des factures de redevances et de formation adressées au réseau. Les documents d'approvisionnement sont des confirmations de commande de fabricants et des bons d'expédition.
Les mots de passe. La table de comptes internes associe des identifiants de salariés à un champ de mot de passe. Sur les 22 comptes de l'extrait, 9 portent une empreinte moderne (bcrypt), 3 une empreinte faible compatible MD5, et 10 une chaîne courte qui n'a la forme d'aucune empreinte : ces dix mots de passe sont vraisemblablement conservés en clair, et l'un d'eux est identique à l'identifiant. Ces comptes-là ne portent aucune trace d'activité récente, au contraire des comptes en bcrypt : ce sont vraisemblablement des comptes anciens, jamais migrés. Le constat porte sur des salariés, pas sur les comptes des clients auxquels s'adressait le courrier. Il contredit néanmoins l'affirmation selon laquelle aucun mot de passe n'avait été compromis.
Les données bancaires. Aucune donnée bancaire de client n'apparaît dans les tables. Les seuls IBAN présents sont ceux des fournisseurs, imprimés sur leurs propres documents. Sur ce point, les échantillons ne contredisent pas l'entreprise.
La date. La dernière écriture relevée dans les échantillons date du 20 août 2026, et les fiches clients sont mises à jour jusqu'au 31 juillet 2026. Le 20 août est précisément la date à partir de laquelle Répar'stores demandait à ses clients de se méfier des demandes de paiement. L'extraction des données se situerait donc entre le 20 août et le 4 septembre 2026.
Le lien avec La Boutique du Volet
Deux jours avant Répar'stores, le 2 septembre 2026, La Boutique du Volet avait envoyé à ses propres clients une notification très proche. Sa société, RS BOUTIQUE, partage avec RS FRANCHISE son siège montpelliérain et ses dirigeants. La plupart des documents d'approvisionnement de l'échantillon sont adressés à RS BOUTIQUE, et l'un porte une adresse de livraison qui réunit les deux enseignes. Au moins un outil d'approvisionnement est donc commun aux deux sociétés et figure dans la base mise en vente. Rien n'établit en revanche, à ce stade, que les clients du site marchand de La Boutique du Volet figurent dans cette base.
Les risques pour les personnes concernées
Le risque principal est celui que l'entreprise redoutait elle-même : la fraude au paiement. Un devis ou une facture réelle, un numéro de téléphone et une adresse suffisent à rendre crédible une fausse relance ou une demande de changement de coordonnées bancaires. Le métier suppose par ailleurs une intervention à domicile : un appel ou une visite « suite à votre dossier » peut servir de prétexte à un faux dépannage.
Les franchisés et les fournisseurs du réseau sont exposés au même type de fraude entre professionnels, avec des références de commande réelles. Pour les salariés dont le compte figure dans la base, un mot de passe réutilisé ailleurs doit être changé.
Toute demande de règlement ou de modification de RIB se vérifie auprès de l'interlocuteur habituel, par un canal connu. Répar'stores précise que ni ses équipes ni ses sous-traitants n'appelleront ses clients au sujet de cet incident.
Ce qui reste inconnu
Le nombre de personnes concernées, que ni l'entreprise ni les échantillons ne permettent d'établir. Le mode d'intrusion, qu'aucune source ne décrit. La part des clients de chaque agence présente dans la base. Et le sort des données une fois vendues.
Données concernées :
- Nom et prénom
- Adresse électronique
- Numéro de téléphone
- Adresse postale
- Historique des devis et des commandes
- Factures
- Commentaires associés
- Fiches clients
- Données de sociétés franchisées, de fournisseurs et de prestataires
- Identifiants de connexion de salariés
- Mots de passe de salariés, en partie non chiffrés
- Documents d'approvisionnement
Mentions :
Statut Fuites Infos : Confirmée