Des clients d'Aroma-Zone ont appris que leur nom, leur prénom, leur adresse électronique et, s'il était renseigné, leur numéro de téléphone avaient été exposés chez Shipup, le prestataire qui suit leurs colis. L'enseigne française de cosmétiques à composer et d'huiles essentielles situe cet accès non autorisé entre le 31 juillet et le 17 août 2026.
Ce que la notification d'Aroma-Zone établit
Selon le courrier, Shipup, chargé pour le compte d'Aroma-Zone du suivi des colis et de l'envoi des notifications de livraison, a subi une cyberattaque visant l'un de ses outils internes. Celle-ci serait liée à une faille de sécurité mondiale affectant un logiciel tiers, que l'enseigne ne nomme pas, pas plus que l'outil visé. Parmi les données hébergées par ce prestataire figuraient celles de clients d'Aroma-Zone, dont la marque, le site et les boutiques sont exploités par la société Hyteck.
L'enseigne écarte explicitement les mots de passe, les données de commande et de livraison, ainsi que toute donnée bancaire ou information de paiement. Elle affirme que ses propres systèmes, son site et les comptes clients n'ont pas été compromis. Aucun nombre de personnes n'est communiqué, et le courrier ne fait état d'aucune extraction au-delà de l'accès. Aroma-Zone indique avoir notifié la CNIL et suivre les mesures correctrices du prestataire : vulnérabilité corrigée, accès compromis révoqués, identifiants et clés renouvelés, sécurité de l'infrastructure renforcée.
Troisième enseigne touchée par le piratage de Shipup
Aroma-Zone est le troisième marchand français à prévenir ses clients pour cette compromission, après Easypara le 29 août et Micromania le 2 septembre 2026. Le même prestataire servant plusieurs enseignes, une personne cliente de plusieurs d'entre elles peut recevoir plusieurs notifications pour un seul et même incident.
Le risque annoncé tient au prétexte de la livraison : courriels, SMS ou appels frauduleux évoquant un colis en attente ou un problème d'acheminement. Associer un nom exact à une adresse électronique et à un numéro de téléphone rend ce type de message plus convaincant, d'autant que ces coordonnées proviennent justement d'un service d'avis de livraison.
Détails techniques :
- Accès non autorisé du 31 juillet au 17 août 2026 chez le prestataire Shipup
- Faille mondiale affectant un logiciel tiers, non nommé par l'enseigne
- Mots de passe, données de commande et de livraison, données bancaires écartés par l'enseigne
- Systèmes d'Aroma-Zone, site et comptes clients non compromis selon l'entreprise
- Notifications précédentes pour le même prestataire : Easypara (29 août 2026), Micromania (2 septembre 2026)
Données concernées :
- Prénom et nom
- Adresse email
- Numéro de téléphone (lorsqu'il était renseigné)
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise