Fuite de données par un sous-traitant : pourquoi une fuite sur deux vient d’une société que vous ne connaissez pas

Vous n’avez jamais entendu parler de LCommerce. Ni de Klue. Ces deux sociétés ont pourtant laissé filer vos données personnelles cet été si vous avez commandé chez E.Leclerc ou si vous utilisez LastPass. Vous n’avez signé aucun contrat avec elles, elles ne vous ont jamais rien vendu, et vous n’aviez aucun moyen de savoir qu’elles détenaient votre nom et votre numéro de téléphone.

Ce n’est pas un accident de parcours, c’est devenu la norme. Dans son rapport annuel sur les violations de données publié le 19 mai 2026, Verizon mesure que 48 % des fuites impliquent désormais un tiers, contre 30 % un an plus tôt et 15 % l’édition précédente. Une fuite sur deux ne se produit donc plus chez l’entreprise à qui vous avez confié vos informations, mais chez un de ses fournisseurs. Je vous explique comment ce circuit fonctionne, pourquoi le réflexe « je change mon mot de passe » tombe à côté quasiment à chaque fois, et les gestes qui protègent vraiment quand vous ne maîtrisez aucun maillon de la chaîne.

C’est quoi un sous-traitant de données, au juste

Le RGPD répartit les rôles en deux catégories, et la distinction compte pour la suite. Le responsable de traitement, c’est l’entreprise qui décide de collecter vos données et de ce qu’elle en fait : votre enseigne, votre mutuelle, votre opérateur. Le sous-traitant, c’est celui qui manipule ces mêmes données pour son compte, sur ses instructions, sans jamais avoir décidé quoi que ce soit.

Concrètement, une enseigne moyenne en aligne des dizaines. La plateforme qui envoie les mails de confirmation de commande. Le centre d’appels qui gère le service client. Le transporteur qui livre le colis. L’hébergeur qui stocke la base. L’outil de relation client où les conseillers consultent votre fiche. Le prestataire de paiement. Chacun reçoit une copie d’une partie de votre dossier, parce qu’il ne peut pas faire son travail sans.

Regardez le cas LastPass de juin, c’est l’illustration parfaite. Le gestionnaire de mots de passe n’a pas été piraté. Le prestataire compromis s’appelait Klue, une application branchée sur l’outil de relation client de l’éditeur. Les attaquants sont entrés chez Klue grâce à un identifiant oublié datant de 2022, puis y ont volé des jetons OAuth, ces clés d’accès temporaires qu’une application se voit remettre pour consulter les données d’une autre sans jamais avoir besoin d’un mot de passe. Avec ces jetons, ils sont entrés par une porte que personne ne surveillait vraiment. J’ai détaillé les conséquences dans mon article sur LastPass piraté via un prestataire.

Pourquoi les pirates passent par là plutôt que par la porte principale

Il y a une logique économique derrière tout ça, et elle est imparable. Une enseigne nationale a une équipe sécurité, un budget, des audits, un pare-feu correctement configuré. La PME qui héberge son formulaire de contact ou le prestataire logistique qui traite ses expéditions, beaucoup moins. La chaîne ne vaut que ce que vaut son maillon le plus faible, et ce maillon n’est jamais celui dont le nom est sur la devanture.

Ajoutez l’effet de levier. Attaquer directement un grand distributeur, c’est se cogner à un mur pendant des semaines. Attaquer un prestataire qui travaille pour ce distributeur et pour douze autres clients, c’est ouvrir treize portes d’un seul coup. Ce n’est pas une image : la compromission de Klue a touché au moins douze entreprises d’un seul mouvement, dont LastPass, Snyk et HackerOne. Un attaquant rationnel choisit la seconde option, et c’est exactement ce que montrent les chiffres : le tiers impliqué dans les fuites a bondi de 60 % en un an.

Et le plus gênant vous concerne directement. Vous n’avez aucun moyen de savoir combien d’entreprises détiennent votre fiche à cet instant. Vous avez choisi l’enseigne, pas ses fournisseurs. Vous ne les connaissez pas, vous ne pouvez pas les auditer, et quand l’une d’elles se fait siphonner, vous l’apprenez par un courriel qui commence par « un de nos prestataires ».

Quatre fuites en trois mois, le même schéma

Mises bout à bout, les affaires de cet été racontent toutes la même histoire.

24 juin, LastPass. Fuite par le prestataire Klue, jetons d’accès volés. Les coffres et les mots de passe maîtres sont restés intacts, mais les coordonnées des clients sont parties.

Juillet, la CAF. 8,6 millions d’allocataires exposés, nom, adresse, courriel et téléphone. La caisse a écarté l’intrusion directe dans son système d’information et pointé une origine externe, du côté d’un partenaire.

Mi-août, la Mutuelle Générale de Prévoyance. Compromission d’un prestataire technique, données mises en vente sur un forum le 7 août et adhérents prévenus à partir du 17. Le pirate revendique 198 127 noms complets et 133 018 IBAN. C’est la plus sévère des quatre, et j’y reviens plus bas parce qu’elle appelle une réaction différente : voir le piratage de la Mutuelle Générale de Prévoyance.

Fin août, Allo E.Leclerc. LCommerce, la société qui opère le service client de l’enseigne, a confirmé qu’un de ses prestataires logistiques avait été compromis. Sont partis les nom, prénom, adresse électronique et numéro de téléphone. Ni coordonnées bancaires, ni identifiants, ni mots de passe. Le prestataire n’est pas nommé dans la notification et le nombre de clients touchés n’a pas été communiqué. La CNIL a été informée et les personnes concernées prévenues directement.

Soyons clairs, toutes les fuites ne suivent pas ce chemin et je ne vais pas vous vendre une théorie unique. Chez SFR Fibre, l’intrusion est passée par un compte interne sur un outil maison. Chez Intermarché, 287 605 clients du Drive ont été notifiés début août après un vol de noms, dates de naissance, adresses, numéros de fidélité et références de commandes ; le groupe ZeroBytes revendique un accès à un serveur RDP hébergé sur le réseau de l’enseigne, version que le distributeur n’a jamais confirmée publiquement. Deux brèches directes, sans intermédiaire.

Ce qui frappe, c’est qu’à l’arrivée le résultat est rigoureusement identique pour vous. Que la fuite vienne d’un prestataire logistique ou d’un serveur mal protégé chez l’enseigne, ce qui sort du bâtiment est toujours le même paquet : de l’identité et du contact. Rarement des mots de passe. Voilà pourquoi la réaction change, et pourquoi la plupart des gens réagissent à côté.

Pourquoi changer votre mot de passe ne sert à rien dans ce cas précis

Posez-vous une question simple : de quoi un sous-traitant a-t-il besoin pour faire son travail ? Un transporteur n’a pas besoin de votre mot de passe pour livrer un carton. Une plateforme de service client n’en a pas besoin pour traiter votre réclamation. Un routeur de courriels n’en a pas besoin pour vous envoyer une confirmation de commande.

Résultat, ce qui circule chez ces prestataires est une copie de travail de votre fiche client, pas votre trousseau d’accès. Quand cette copie fuite, changer votre mot de passe protège un accès qui n’a jamais été compromis. Ça ne coûte rien, ça ne fait pas de mal, mais si vous vous arrêtez là vous avez seulement acheté de la bonne conscience.

Le vrai risque est ailleurs, et il est redoutable. Un escroc qui connaît votre nom, votre numéro de mobile, votre adresse exacte et la référence de votre dernière commande n’a plus à vous convaincre qu’il est légitime : il l’a prouvé dans les trois premières secondes de l’appel. C’est tout le mécanisme des arnaques au colis avec message vocal généré par IA, et celui des appels à la voix clonée. Une fuite logistique alimente directement ces deux scénarios, puisqu’elle livre le contexte de livraison en même temps que les coordonnées.

Deux exceptions, et deux seulement. Si l’entreprise annonce elle-même que des identifiants ou des empreintes de mots de passe ont fuité, alors oui, vous changez, et partout où vous aviez réutilisé le même. Et si ce sont des coordonnées bancaires qui sont parties, comme chez la Mutuelle Générale de Prévoyance, le mot de passe n’a toujours rien à voir : ce qu’il faut demander à votre banque, c’est une liste blanche de prélèvements, par courrier. C’est gratuit et c’est le seul geste qui rend un IBAN volé inutilisable.

Qui est responsable quand la faute vient d’une société que vous ne connaissez pas

Bonne nouvelle, et elle est peu connue : vous n’avez pas à courir après un prestataire dont vous ignoriez l’existence il y a une semaine.

Le RGPD impose au responsable de traitement de choisir un sous-traitant présentant des garanties suffisantes, de l’encadrer par contrat et de lui donner des instructions documentées. Autrement dit, l’enseigne répond du choix qu’elle a fait. Et le texte va plus loin : le régime de réparation des dommages pose une responsabilité solidaire entre les acteurs d’un même traitement. Chacun peut être tenu de réparer le préjudice pour le tout, à charge pour celui qui a payé de se retourner ensuite contre les autres. La répartition interne des responsabilités ne vous est pas opposable.

Traduction pratique : vous vous adressez à l’enseigne, point final. Pas au prestataire, pas au sous-traitant du prestataire. Et si la réponse ne vient pas, la plainte se dépose auprès de la CNIL, en ligne.

Vous disposez aussi d’un levier que presque personne n’utilise : le droit d’accès. Une demande écrite à l’entreprise l’oblige à vous communiquer les données qu’elle détient sur vous, mais aussi les destinataires ou les catégories de destinataires à qui elle les transmet. C’est le seul moyen légal de savoir chez qui votre fiche a circulé. Sur un gros compte marchand, la liste est souvent édifiante.

Pour situer l’ampleur du phénomène : la CNIL a enregistré 6 167 notifications de violations de données en 2025, soit 9,5 % de plus qu’en 2024 et son plus haut niveau depuis qu’elle compte. Une quarantaine concernaient des bases de plus d’un million de personnes. L’autorité a annoncé un net renforcement de ses contrôles en matière de cybersécurité pour 2026.

Comment savoir si vos données sont parties chez un prestataire

Vous ne le découvrirez pas tout seul, et c’est bien le problème. Le RGPD oblige l’entreprise responsable à notifier la CNIL dans les 72 heures après avoir eu connaissance de la violation, y compris quand celle-ci s’est produite chez son sous-traitant. Quand le risque pour vous est jugé élevé, elle doit en plus vous prévenir individuellement, en clair, et pas au détour d’une lettre d’information commerciale.

Sauf que le « risque élevé » s’apprécie au jugé, et qu’une fuite de nom, d’adresse et de téléphone passe souvent pour bénigne côté entreprise. Résultat, la notification arrive tard, ou jamais. Les services de vérification d’adresses compromises ne rattrapent pas le retard : ils ne voient que les bases ayant fini en circulation publique, et une fuite revendue discrètement entre acheteurs n’y figurera jamais. Une réponse rassurante ne prouve donc rien.

En vrai, le meilleur détecteur reste votre boîte mail. Un alias créé pour une seule enseigne qui se met soudain à recevoir du démarchage ou des messages frauduleux, c’est une fuite confirmée, avec le nom du coupable inscrit dans l’adresse. C’est toute la valeur du premier réflexe que je détaille juste après : il transforme chaque fuite en information exploitable au lieu d’un mystère.

Les cinq réflexes qui valent pour toutes les fuites à venir

Vous ne pouvez pas empêcher un prestataire inconnu de se faire pirater. Vous pouvez décider de ce que cette fuite emportera. Toute la bascule est là.

Premier réflexe : une adresse mail différente par service. Les alias font ça très bien, que ce soit avec Proton Pass, SimpleLogin ou Hide My Email côté Apple. Double bénéfice : le jour où un alias reçoit du phishing (hameçonnage en français), vous savez immédiatement quelle enseigne a laissé filer vos données, et vous pouvez le désactiver sans toucher à votre adresse principale.

Deuxième : un numéro secondaire pour les livraisons et les inscriptions. Une carte prépayée ou une seconde ligne eSIM à quelques euros par mois suffit. Votre vrai numéro reste à la banque, au médecin et à la famille. Le reste du monde appelle l’autre, et vous savez comment traiter ce qui y arrive.

Troisième : la liste blanche de prélèvements auprès de votre banque. C’est le seul geste de cette liste qui coûte un timbre, et c’est le plus rentable. Vous fixez la liste des créanciers autorisés à prélever votre compte, tout le reste est bloqué d’office. Un IBAN volé devient une ligne de texte sans intérêt.

Quatrième : traitez toute notification de fuite comme suspecte, y compris celles qui semblent venir de l’entreprise concernée. C’est précisément la période où les escrocs envoient leurs propres messages, comme avec ces faux courriels qui promettaient d’effacer vos données au nom de la CNIL. On ne clique jamais sur le lien du message. On ouvre son navigateur, on tape l’adresse du site soi-même, on se connecte à son compte. Si c’est vrai, l’information y sera.

Et le cinquième, celui que tout le monde saute : signalez. Une tentative d’arnaque se déclare sur cybermalveillance.gouv.fr, un SMS frauduleux se transfère au 33700, un courriel de phishing se signale à Signal Spam. Ça prend trente secondes, ça ne vous rapporte rien directement, et c’est pourtant ce qui permet de faire tomber les campagnes avant qu’elles n’atteignent votre voisin.

Ce qu’il faut retenir

Vérifiez ce qui a réellement fuité avant de réagir. Identité et contact, c’est du risque de phishing. Coordonnées bancaires, c’est un courrier à la banque. Identifiants, c’est un changement de mot de passe. Les trois ne se soignent pas pareil.

Adressez-vous à l’enseigne, jamais au prestataire. C’est elle qui a choisi son sous-traitant, c’est elle qui répond devant vous, et la CNIL prend le relais si elle fait la sourde oreille.

Compartimentez maintenant, pas après la prochaine fuite. Un alias mail par service et une liste blanche bancaire, c’est une heure de votre temps une fois pour toutes.

Ma reco si je ne devais en garder qu’une : cessez d’attendre que les entreprises protègent vos données à votre place. En trois mois, j’ai couvert ici le piratage des impôts, celui de Bloctel, la fuite de l’ANTS et celui de la Protection Civile, sans compter les quatre affaires de prestataires racontées plus haut. Aucune n’a été causée par une erreur de votre part, et aucune ne sera la dernière. La seule variable sur laquelle vous gardez la main, c’est la quantité d’informations exploitables que chaque fuite emportera. Réduisez-la.

Cela pourrait aussi vous intéresser

Arnaque CNIL : ces faux emails qui promettent d’effacer vos données après une fuite Antivirus payant : pourquoi investir pour protéger vos données Fuite ANTS : 19 millions de Français exposés, suis-je concerné et que faire ? Connaissez-vous le Money Walkie, le porte-monnaie électronique sans contact pour toute la famille ?