Les clients de Smartbox ont reçu un courriel de l'entreprise les informant d'une cyberattaque survenue le 3 novembre 2026. La marque de coffrets cadeaux indique que leurs noms et adresses e-mail pourraient avoir été consultés, et annonce un nouveau code PIN pour les bons cadeaux.
Ce que Smartbox dit de l'incident
Smartbox vend des coffrets cadeaux, des e-cartes cadeaux et des expériences à offrir. La marque est éditée par Smartbox Group Limited, une société irlandaise. Dans son message à ses clients, l'entreprise explique avoir détecté le 3 novembre 2026 un accès non autorisé à l'une de ses plateformes, sans préciser laquelle. Elle dit avoir immédiatement pris des mesures pour protéger ses systèmes et empêcher tout nouvel accès.
Selon son enquête, qui est toujours en cours, certaines données personnelles des clients pourraient avoir été consultées, dont leurs noms et leurs adresses e-mail. Smartbox présente cette liste comme non limitative et ne dit pas, à ce stade, si des données ont effectivement été copiées.
L'entreprise précise en revanche que l'attaquant n'a pas eu accès aux coordonnées bancaires ni aux mots de passe des comptes. Le courriel comporte aussi une section consacrée au renouvellement du code PIN des bons cadeaux, sans que l'on sache, à ce stade, si cette mesure répond à une exposition de ces codes ou relève de la précaution.
Pourquoi les clients de Smartbox doivent rester attentifs
Un nom et une adresse e-mail associés à la relation avec une marque de bons cadeaux suffisent pour écrire à un client de façon personnalisée. Le contexte de l'incident fournit lui-même un prétexte crédible : un message se présentant comme venant de Smartbox et invitant à activer un nouveau code ou à confirmer un bon cadeau peut paraître légitime, à un moment où les clients notifiés peuvent attendre des nouvelles de leur bon.
Ce piratage ne porte pas, selon Smartbox, sur les moyens de paiement ni sur les mots de passe, ce qui limite le risque d'accès direct aux comptes. L'enjeu principal reste celui de messages frauduleux bien ciblés.
Ce qui reste inconnu
Smartbox ne communique ni le nombre de clients concernés, ni le nom de la plateforme touchée, et n'indique pas si une autorité de protection des données a été informée. L'attaque déclarée le 3 novembre 2026 est postérieure à une revendication visant Smartbox publiée en juin 2026 sur un forum cybercriminel ; aucune source connue ne relie les deux événements.
Données concernées :
- Identité : nom
- Coordonnées : adresse e-mail
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise