Des clients du Printemps qui attendaient une livraison ont reçu le 4 septembre 2026 un courrier les informant d'un incident de sécurité. Selon l'enseigne, leurs prénom, nom, adresse électronique et numéro de téléphone font partie des données téléchargées par un tiers non autorisé lors du piratage de l'un de ses prestataires, chargé du suivi des commandes et des livraisons.
Ce que Printemps a indiqué à ses clients
L'enseigne française de grands magasins, qui opère aussi le site marchand printemps.com, explique avoir été prévenue le 20 août 2026 par ce prestataire, qu'elle ne nomme pas. Une vulnérabilité de son outil d'analyse a été exploitée, et son examen a confirmé que des requêtes avaient été exécutées sur ses bases de données et que certaines données avaient été téléchargées.
Printemps ne donne ni nombre de personnes concernées ni période d'accès. Elle n'écarte explicitement aucune autre catégorie de données, sans en citer d'autres, ce qui laisse le périmètre ouvert. L'incident a été notifié à la CNIL le 25 août 2026, et l'enseigne le déclare désormais résolu : le prestataire a désactivé les accès vulnérables, révoqué les sessions actives, renouvelé les clés et identifiants concernés et renforcé sa supervision.
Un prestataire probablement commun à d'autres marchands
Le rôle décrit correspond à celui de Shipup, plateforme française de notifications de livraison et de pages de suivi de commande, compromise début août 2026 par une faille de l'outil décisionnel qu'elle utilisait en interne. Trois marchands français, Easypara, Micromania et Aroma-Zone, ont notifié leurs clients pour cette même compromission entre le 29 août et le 8 septembre 2026, en situant l'accès entre le 31 juillet et le 17 août. Ce rapprochement est celui de la rédaction et du média ayant publié le courrier, pas une déclaration de Printemps. Il reste moins étayé que pour ces trois enseignes : Printemps ne précise aucune fenêtre d'accès et ne figure pas parmi les références clientes publiées par le prestataire.
Pour les clients, le risque annoncé est celui de courriels, de SMS et d'appels frauduleux se faisant passer pour une entreprise connue, d'autant plus crédibles que le fichier concerné est celui de personnes qui attendaient une livraison.
Détails techniques :
- Prestataire ayant informé Printemps le 20 août 2026, CNIL notifiée le 25 août 2026, courrier aux clients le 4 septembre 2026
- Vulnérabilité exploitée dans l'outil d'analyse du prestataire, avec exécution de requêtes sur ses bases de données
- Rapprochement éditorial avec Shipup, compromis via CVE-2026-72898 (Metabase), non confirmé par l'enseigne
- Fenêtre d'accès citée par Easypara, Micromania et Aroma-Zone : du 31 juillet au 17 août 2026
- Aucune fenêtre d'accès ni volume communiqués par Printemps
Données concernées :
- Prénom et nom
- Adresse email
- Numéro de téléphone
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise