Des clients particuliers et des garages qui ont commandé des pièces auto d'occasion en ligne auprès de Careco pourraient voir leurs coordonnées circuler. Le 30 octobre 2026, un acteur a annoncé sur un forum cybercriminel diffuser la base de données du groupe, au motif d'un défaut de paiement. Près de 700 personnes seraient concernées.
Publication du 30 octobre 2026, capture filigranée et masquée par Fuites Infos.
Careco, un réseau de recyclage automobile visé par une fuite revendiquée
Careco est un réseau français de centres de recyclage automobile qui vend des pièces d'occasion aux particuliers et aux professionnels de l'automobile. Le message publié sur le forum reproduit un extrait de la table des clients et renvoie vers un hébergeur externe. Il présente l'ensemble comme la base de données du groupe.
Selon l'analyse de Fuites Infos, les fichiers du dépôt analysé comptent trois tables d'une boutique en ligne de pièces détachées : les comptes clients, les commandes et les demandes de réinitialisation de mot de passe. Ces fichiers portent sur environ 700 personnes distinctes. Près de 130 d'entre elles sont des professionnels de l'automobile, garages et carrosseries notamment.
Ce que contiendraient les données des clients de Careco
Les fiches exposées réuniraient l'identité des clients, leur adresse postale, leur adresse e-mail et leur numéro de téléphone. Pour les professionnels s'ajoutent les numéros d'entreprise. L'historique des commandes figure aussi, avec les montants payés et l'adresse IP de connexion du client.
Les mots de passe des comptes sont protégés par un procédé de protection faible. Une trentaine d'entre eux apparaissent même en clair. Une personne qui utilise le même mot de passe ailleurs s'expose à des tentatives d'accès à ses autres comptes.
Les comptes ont été créés pour l'essentiel en 2021. Les écritures les plus récentes remontent à avril 2025. La table des clients s'arrête aux premiers comptes enregistrés : la base d'origine serait donc plus large que ce dépôt.
Le croisement d'un nom, d'une adresse, d'un téléphone et d'un historique d'achats permet d'écrire des messages crédibles au nom de Careco, par exemple un faux suivi de commande ou un faux remboursement. Les garages identifiés par leur numéro d'entreprise peuvent aussi recevoir de fausses demandes de paiement de fournisseur. À ce stade, Careco n'a pas confirmé publiquement l'incident.
Détails techniques :
- Trois tables : comptes clients, commandes, demandes de réinitialisation de mot de passe
- Environ 700 personnes distinctes selon l'analyse de Fuites Infos
- Près de 130 professionnels de l'automobile
- Mots de passe stockés sous forme de condensats MD5, une trentaine figurant en clair
- Comptes créés pour l'essentiel en 2021, dernières écritures en avril 2025
Données concernées :
- Nom, prénom et civilité
- Adresse e-mail et numéro de téléphone
- Adresse postale, code postal et ville
- SIREN, SIRET et numéro de TVA des clients professionnels
- Données de profil professionnel et fiche client
- Identifiants internes
- Historique et montants des commandes
- Adresse IP de connexion
- Mots de passe (condensats et mots de passe en clair)
- Jetons de réinitialisation de mot de passe
Mentions :
Statut Fuites Infos : Revendiquée