Fuite de données Auchan : ce qu'il faut savoir sur les piratages de 2024 et 2025

La fuite de données Auchan ne s'est pas produite une seule fois. L'enseigne de grande distribution a reconnu deux cyberattaques en moins d'un an. La première date de novembre 2024, la seconde d'août 2025. À chaque fois, ce sont les titulaires d'un compte de fidélité qui sont touchés.

Ce dossier fait le point sur les faits vérifiés, les données exposées et les gestes utiles. Pour comprendre les notions de base, consultez d'abord notre guide sur la fuite de données. Toutes les autres affaires du secteur sont recensées dans notre rubrique commerce.

Que s'est-il passé chez Auchan ?

Le 19 novembre 2024, Auchan a confirmé à l'AFP avoir été « victime d'une cyberattaque ». Des pirates ont eu accès à une partie des données personnelles de clients. Ces clients ont un point commun : ils possèdent un compte de fidélité Auchan.

L'enseigne a prévenu les personnes concernées par e-mail. Elle a présenté l'incident comme « circonscrit », c'est-à-dire stoppé et limité. Elle n'a pas expliqué comment les pirates étaient entrés.

Le 21 août 2025, Auchan a annoncé une nouvelle attaque. Elle a parlé d'« un acte de cyber malveillance ». Là encore, les comptes de fidélité étaient visés, avec des données très proches de celles de 2024 (MoneyVox).

Deux fuites en neuf mois, c'est rare pour une enseigne de cette taille. Cela explique pourquoi les recherches « Auchan piratage » et « Auchan cyberattaque » restent nombreuses.

Chronologie de la fuite

Date	Événement
19 novembre 2024	Auchan confirme une cyberattaque visant les comptes de fidélité de plus de 500 000 clients.
19-20 novembre 2024	Les clients concernés reçoivent un e-mail d'information.
2 décembre 2024	Le parquet de Paris se saisit de l'enquête, confiée à l'Office anti-cybercriminalité (OFAC).
Décembre 2024	Le nombre de comptes touchés est réévalué à environ 550 000.
21 août 2025	Auchan annonce une seconde cyberattaque touchant « quelques centaines de milliers » de clients.
22 août 2025	Les médias nationaux relaient l'information et les conseils de vigilance d'Auchan.

Quelles données ont fuité ?

Lors de la fuite de novembre 2024

Selon Auchan, les données exposées étaient les suivantes (La Libre) :

• nom et prénom ;
• adresse e-mail et adresse postale ;
• numéro de téléphone ;
• date de naissance ;
• composition familiale, si elle avait été renseignée ;
• numéro de carte de fidélité ;
• montant de la cagnotte de fidélité.

Selon une porte-parole, les données bancaires, les mots de passe et les codes PIN « ne sont pas concernés ».

Lors de la fuite d'août 2025

Cette fois, Auchan a cité la civilité, le statut de client professionnel, le nom, le prénom, les adresses e-mail et postale, le téléphone et le numéro de carte de fidélité (Next).

Selon l'enseigne, les données bancaires, les mots de passe et les codes PIN n'étaient pas touchés. Le montant des cagnottes ne l'était pas non plus.

Aucun IBAN (le numéro de compte bancaire) n'a donc fuité, d'après Auchan. Le risque principal reste l'arnaque ciblée.

Combien de clients sont concernés ?

Pour la fuite de 2024, Auchan a d'abord évoqué plus de 500 000 clients. Le chiffre a ensuite été porté à environ 550 000 comptes de fidélité (Économie Matin).

Pour la fuite de 2025, l'enseigne n'a pas donné de chiffre précis. Elle a parlé de « quelques centaines de milliers » de clients.

Certains clients ont pu être touchés deux fois. Auchan n'a pas publié d'estimation sur ce point.

Les clients belges ne sont pas à l'abri. Auchan n'a pas de magasin en Belgique. Mais beaucoup de Belges font leurs courses dans les hypermarchés du Nord de la France. Ils peuvent donc détenir une carte de fidélité (La Libre).

Qui est derrière l'attaque ?

Aucun groupe de pirates n'a été officiellement identifié. Auchan n'a pas décrit la méthode utilisée.

Pour la fuite de 2024, plusieurs médias indiquent que les données auraient été proposées sur des forums cybercriminels. Une enquête judiciaire est en cours pour accès frauduleux à un système informatique (Solutions Numériques).

Qu'a fait Auchan ?

Après chaque attaque, Auchan a suivi les étapes prévues par le RGPD (le règlement européen sur les données personnelles).

• Notification à la CNIL. L'enseigne a signalé les deux incidents à la Commission nationale de l'informatique et des libertés.
• Information des clients. Les personnes concernées ont reçu un e-mail ou un courrier.
• Renforcement des contrôles. En 2024, Auchan a renforcé les contrôles sur l'utilisation des cagnottes (Le Monde Informatique).
• Appel à la vigilance. L'enseigne a demandé à ses clients de se méfier des e-mails, SMS et appels suspects.

Côté justice, le parquet de Lille a transmis le dossier de 2024 au parquet de Paris. L'enquête a été confiée à l'OFAC, un service de police spécialisé.

Aucune sanction de la CNIL visant Auchan pour ces fuites n'a été rendue publique à ce jour. Pour savoir comment la CNIL agit dans ce type d'affaires, lisez notre article sur vos droits RGPD après une fuite.

Comment savoir si je suis concerné ?

Trois vérifications simples permettent de savoir si vous êtes touché.

1. Cherchez l'e-mail d'Auchan. Fouillez votre boîte de réception et vos spams. Tapez « Auchan » et « données » dans la barre de recherche, autour de novembre 2024 et d'août 2025.
2. Vérifiez votre carte de fidélité. Seuls les titulaires d'un compte de fidélité semblent concernés. Sans carte, le risque est faible.
3. Utilisez un outil de vérification. Notre guide pour vérifier si vos données ont fuité présente les services fiables.

Attention : un e-mail qui prétend venir d'Auchan peut être faux. Ne cliquez sur aucun lien. Connectez-vous plutôt en tapant vous-même l'adresse du site.

Que faire si mes données ont fuité ?

Vos coordonnées et votre date de naissance circulent peut-être. Voici les gestes adaptés à ces données.

1. Méfiez-vous des faux messages. Les escrocs peuvent se faire passer pour Auchan, votre banque ou un livreur. Ils connaissent votre nom et votre adresse. Apprenez à reconnaître les arnaques au phishing.
2. Ne donnez jamais vos codes bancaires. Auchan ne vous demandera jamais votre numéro de carte par téléphone ou par SMS.
3. Surveillez votre cagnotte. Consultez régulièrement le solde de votre compte fidélité. Signalez toute baisse anormale au service client.
4. Changez votre mot de passe par prudence. Les mots de passe n'ont pas fuité selon Auchan. Mais si vous utilisez le même partout, changez-le. Suivez nos conseils sur les mots de passe et la double authentification.
5. Méfiez-vous des appels. Votre numéro de téléphone a pu fuiter. Raccrochez si un interlocuteur vous presse ou vous demande un code reçu par SMS.
6. Portez plainte en cas de préjudice. Victime d'une arnaque ? Consultez notre guide pour porter plainte après une fuite.

Pour un plan d'action complet, lisez notre fiche que faire après une fuite de données. Les deux affaires Auchan figurent aussi dans notre classement des plus grandes fuites de données en France.

Questions fréquentes

Mes coordonnées bancaires ont-elles été volées chez Auchan ?

Non, selon Auchan. L'enseigne affirme que les données bancaires, les mots de passe et les codes PIN n'ont pas fuité. Ni en 2024, ni en 2025. Restez toutefois prudent face aux messages qui vous demandent ces informations.

Combien de clients Auchan ont été touchés ?

La fuite de 2024 concerne environ 550 000 comptes de fidélité. Pour celle de 2025, Auchan parle de « quelques centaines de milliers » de clients. Aucun chiffre total officiel n'a été publié.

Ma cagnotte Auchan peut-elle être vidée ?

Le montant de la cagnotte figurait parmi les données exposées en 2024. Auchan a donc annoncé des contrôles renforcés lors de son utilisation. Vérifiez régulièrement votre solde et signalez toute anomalie au service client.

J'habite en Belgique, suis-je concerné ?

C'est possible si vous avez une carte de fidélité Auchan. Beaucoup de Belges font leurs courses dans les magasins proches de la frontière. Les mêmes conseils de vigilance s'appliquent.

Puis-je obtenir une indemnisation après la fuite Auchan ?

Le RGPD permet de demander réparation si vous subissez un dommage réel. Il faut en général prouver ce préjudice. Notre article sur vos droits RGPD détaille les démarches possibles.