Les clients de la boutique en ligne Caverne des Jouets, qui vend des jouets et des jeux pour enfants, sont concernés par une fuite de données revendiquée. Un acteur a mis en vente le 7 novembre 2026, sur un forum cybercriminel, ce qu'il présente comme la base de données du site caverne-des-jouets.com. Caverne des Jouets n'a pas confirmé publiquement l'incident à ce stade.
Annonce publiée le 7 novembre 2026 sur un forum cybercriminel.
Les clients de Caverne des Jouets exposés
Caverne des Jouets est une boutique de jouets en ligne installée à Attenschwiller, dans le Haut-Rhin. Les personnes concernées sont ses clients, des particuliers qui ont commandé des jouets sur le site, ainsi que les abonnés à sa liste de diffusion. D'après l'annonceur, les données couvriraient la période 2009 à 2026.
Selon la revendication, le dépôt compterait environ 9,4 millions de lignes, réparties en 73 fichiers pour 4,5 Go. L'annonce cite 969 386 adresses électroniques. Elle évoque aussi 903 115 numéros de téléphone. Elle mentionne encore 895 233 adresses postales. Elle fait enfin état de 850 254 mots de passe. Ces chiffres sont annoncés mais non vérifiés. Les fichiers porteraient sur les comptes clients, la liste de diffusion, les factures, les colis expédiés et les courriels envoyés par la boutique. La base est proposée à la vente.
Ce que contiendraient les données de Caverne des Jouets
Selon l'analyse de Fuites Infos, l'échantillon publié par l'acteur contient des noms, des adresses électroniques, des numéros de téléphone, des adresses postales et des dates de naissance de clients. Les mots de passe y figurent sous une forme transformée, qui ne les montre pas en clair. L'échantillon comprend aussi l'historique des commandes et des livraisons. Il ne contient aucune donnée bancaire. Les données de clients de l'échantillon datent de 2009 à 2022, et des comptes internes y portent une activité d'octobre 2026.
Un risque de faux messages de livraison
Réunis, le nom, les coordonnées et l'historique d'achats permettent d'écrire des messages frauduleux crédibles au nom de la boutique ou d'un transporteur : faux suivi de colis, faux remboursement, faux paiement refusé. L'identité complète, avec la date de naissance et l'adresse postale, peut servir à une usurpation d'identité. Les mots de passe d'une partie des comptes pourraient être retrouvés à partir de leur forme transformée, puis essayés sur d'autres services si le client les y réutilise. Les achats de jouets révèlent enfin la présence d'enfants dans le foyer, une information que des escrocs peuvent exploiter auprès des parents.
Données concernées :
- Nom, prénom, civilité et date de naissance
- Adresse électronique, numéro de téléphone et adresse postale (ville, code postal, pays)
- Mots de passe sous forme de condensats
- Historique des commandes, factures, montants et points de fidélité
- Adresses IP enregistrées lors des commandes
- Courriels échangés avec la boutique et commentaires de livraison
- Identifiants internes et informations professionnelles pour une minorité de comptes
Mentions :
Statut Fuites Infos : Revendiquée