Le 8 septembre 2026, une partie des clients de Citadium ont reçu un courrier les avertissant que leur prénom, leur nom, leur adresse électronique et leur numéro de téléphone faisaient partie de données téléchargées lors du piratage d'un prestataire de l'enseigne. Ce prestataire, chargé du suivi des commandes et des livraisons, n'est pas nommé dans le message.
Ce que Citadium a communiqué à ses clients
Enseigne française de mode urbaine, Citadium appartient au groupe Printemps ; son réseau de boutiques et le site citadium.com sont exploités par la société Profida. Selon la notification, le prestataire a prévenu l'enseigne le 20 août 2026 qu'une vulnérabilité de son outil d'analyse avait été exploitée par un tiers non autorisé. Son analyse a confirmé que des requêtes avaient été exécutées sur ses bases de données et que certaines données avaient été téléchargées. L'enseigne a notifié la CNIL le 25 août et considère l'incident comme résolu : accès vulnérables désactivés, sessions actives révoquées, clés et identifiants renouvelés, supervision et contrôles d'accès renforcés.
Le courrier ne cite aucune autre donnée, mais n'en écarte aucune, ce qui laisse le périmètre ouvert. Il ne donne ni nombre de personnes, ni date d'intrusion, ni fenêtre d'accès. Il porte l'en-tête de Citadium mais est signé par l'équipe Printemps, qui avait adressé quatre jours plus tôt un message au contenu identique aux clients du grand magasin.
Un prestataire vraisemblablement identifié
La fonction décrite, la nature de l'outil atteint et le mécanisme rapporté désignent Shipup, plateforme française de notifications de livraison dont la même compromission a déjà été documentée chez trois autres marchands français. La faille en cause correspondrait à celle de l'outil d'analyse Metabase, divulguée le 6 août 2026 et exploitée avant cette date. La presse spécialisée recense Shipup parmi douze organisations touchées, et le média qui a rendu le courrier public retient le même rattachement. Ce rapprochement est celui de la rédaction, pas une déclaration de Citadium.
Pour les clients, le risque annoncé est celui de courriels, d'appels et de SMS frauduleux se faisant passer pour une entreprise connue, rendus plus crédibles par un nom, un prénom et un numéro exacts.
Détails techniques :
- Prestataire ayant informé l'enseigne le 20 août 2026, CNIL notifiée le 25 août 2026, courrier aux clients le 8 septembre 2026
- Vulnérabilité de l'outil d'analyse du prestataire, avec exécution de requêtes sur ses bases de données et téléchargement de données
- Rapprochement éditorial avec Shipup et CVE-2026-72898 (injection SQL non authentifiée dans Metabase), non confirmé par l'enseigne
- Aucun volume, aucune date d'intrusion ni fenêtre d'accès communiqués
- Société exploitante : Profida
Données concernées :
- Prénom et nom
- Adresse email
- Numéro de téléphone
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise