Les garages et carrossiers clients de ColorBox, boutique en ligne de peinture automobile et de produits de carrosserie, sont concernés par une fuite de données revendiquée le 9 novembre 2026. Une base présentée comme celle du site a été diffusée gratuitement sur un forum cybercriminel, et environ 16 700 comptes clients y figureraient.
Annonce publiée sur un forum cybercriminel le 9 novembre 2026.
ColorBox, fournisseur en ligne des professionnels de la carrosserie
ColorBox vend en ligne de la peinture automobile et des fournitures de carrosserie, d'abord aux garages et aux carrossiers. Les personnes potentiellement touchées sont donc surtout des professionnels de l'automobile installés en France, ainsi que quelques clients en Belgique et en Suisse. Ce sont des clients qui ont ouvert un compte sur le site pour passer commande, entre 2010 et 2023.
Ce que contiendraient les données des clients de ColorBox
L'auteur de l'annonce évoque environ 7,7 millions de lignes au format CSV pour 2,2 Go, avec près de 88 000 numéros de téléphone et 60 000 adresses électroniques. Selon l'analyse de Fuites Infos, le dépôt contient l'export d'une base de vente en ligne et porte sur environ 16 700 comptes clients. Pour chaque client, il associe le nom, l'adresse postale, le téléphone et l'adresse électronique, parfois la date de naissance, ainsi qu'un mot de passe stocké sous une forme protégée mais ancienne. S'y ajoutent les factures, les commandes et les expéditions passées sur le site. Le dépôt comprend aussi un fichier de prospection d'environ 115 000 entreprises du commerce et de la réparation automobile, avec pour une partie d'entre elles le nom de leur dirigeant. Les enregistrements clients les plus récents datent d'octobre 2023.
Le piratage présumé n'a pas été confirmé par ColorBox à ce stade.
Pourquoi ces informations sont sensibles pour les garages
Un nom de garage, ses coordonnées et l'historique exact de ses commandes permettent de se faire passer de façon crédible pour son fournisseur : un courriel ou un appel citant une vraie facture peut réclamer un paiement ou annoncer de nouvelles coordonnées bancaires. Les mots de passe, conservés sous une forme qui se retrouve facilement pour les combinaisons courantes, exposent aussi les clients qui ont réutilisé le même mot de passe ailleurs. Même si les commandes les plus récentes datent de 2023, la diffusion gratuite de l'ensemble prolonge l'exposition de ces informations.
Détails techniques :
- Environ 7,7 millions de lignes réparties en 351 tables, 2,45 Go une fois décompressées
- Mots de passe stockés sous forme de condensats MD5, sans sel par compte
- Factures et commandes de juin 2010 à juillet 2023
Données concernées :
- Nom, civilité et parfois date de naissance des clients
- Adresse postale, téléphone et adresse électronique
- Mot de passe sous forme de condensat
- Raison sociale, SIRET et numéro de TVA des clients professionnels
- Factures, commandes, montants et suivis de colis
- Fiches d'entreprises de l'automobile avec le nom de dirigeants
Données annoncées non vérifiées :
- Volume : environ 7,7 millions de lignes, 88 000 téléphones et 60 000 adresses électroniques selon l'annonce, contre environ 16 700 comptes clients retenus
Mentions :
Statut Fuites Infos : Revendiquée