Carrefour : des données clients exposées via son prestataire Shipup

Carrefour a informé certains de ses clients que leurs noms, prénoms, adresses e-mail et numéros de téléphone ont été exposés à la suite d'un incident de sécurité chez l'un de ses prestataires. Selon l'enseigne, aucune donnée bancaire ni aucun mot de passe n'a été compromis. Le prestataire, que Carrefour ne nomme pas, est identifié par des spécialistes de la veille cyber comme la société française Shipup.

Des noms, e-mails et téléphones exposés

Carrefour a révélé l'incident à ses clients fin septembre 2026, selon les messages relayés par la presse spécialisée, dont LSA conso et Cyberattaque.org dès le 28 septembre. Le distributeur indique que les données exposées comprennent les noms, les prénoms, les adresses e-mail et les numéros de téléphone. Il assure qu'aucune coordonnée bancaire ni aucun mot de passe n'a été touché.

L'enseigne précise que l'incident « ne concerne pas directement les systèmes informatiques de Carrefour ». Elle affirme aussi qu'aucun élément ne laisse penser que les comptes clients ont été compromis. Le nombre de personnes concernées n'a pas été communiqué. Selon RMC, seuls les clients ayant reçu le courriel de l'enseigne sont a priori touchés.

SeniorActu et RMC rapportent que l'enseigne n'a pas nommé son prestataire. Le Monde Informatique indique que plusieurs spécialistes de la veille cyber attribuent l'incident à Shipup, éditeur français d'un outil de suivi de livraison utilisé, selon ce média, par plus de 700 marques. Ces attributions ne sont pas confirmées par Carrefour.

Une faille dans un logiciel open source

Selon les informations disponibles citées par Le Monde Informatique, la compromission de Shipup résulte de l'exploitation d'une vulnérabilité critique affectant Metabase. Il s'agit d'une plateforme open source d'analyse et de visualisation de données. Cette faille permettait à un attaquant distant d'accéder à des instances vulnérables sans authentification préalable.

Le même média rappelle que Shipup n'est pas le seul concerné. Micromania, Easypara, Printemps, Aroma-Zone et Courir figurent parmi les enseignes ayant signalé une exposition de données clients liée à Shipup, selon RMC et Le Monde Informatique.

La question de l'auteur de l'attaque reste ouverte. Aucune des sources consultées ne mentionne de groupe de pirates ayant revendiqué l'incident.

Le risque principal : l'hameçonnage

Pour Le Monde Informatique, le principal danger tient désormais à l'exploitation des informations exposées dans des campagnes d'hameçonnage (phishing). Avec un nom, une adresse e-mail et un numéro de téléphone, un escroc peut rédiger des messages crédibles au nom de l'enseigne ou d'un transporteur.

RMC cite des cas d'arnaques possibles : faux SMS évoquant un colis bloqué, une livraison ou un remboursement urgent. Le média rappelle que Carrefour ne demande pas de coordonnées bancaires par message. Les clients peuvent signaler ces messages sur les plateformes SignalConso, Pharos ou Thesee, selon RMC.

Le Monde Informatique souligne aussi un enjeu plus large. Une seule compromission chez un prestataire partagé par plusieurs centaines d'entreprises peut exposer les données de nombreuses marques à la fois, sans qu'aucune ne soit directement attaquée.

Ce que les clients doivent surveiller

Les clients doivent se méfier des messages inattendus, même s'ils semblent provenir de Carrefour ou d'un transporteur. Les sources ne précisent pas si l'enseigne a déposé plainte ou saisi la CNIL, l'autorité française de protection des données. Elles ne mentionnent pas non plus d'enquête ouverte à ce stade.

Les clients qui ont reçu le courriel de l'enseigne peuvent contacter le service client de Carrefour pour obtenir des précisions, selon les modalités indiquées dans ce message. Les sources consultées ne détaillent pas ces modalités.