Fuite Shipup : quand une faille chez un prestataire expose les clients de Printemps, Micromania et Aroma-Zone

Le 4 septembre 2026, des clients du Printemps ont reçu un courrier les informant que leurs nom, prénom, adresse électronique et numéro de téléphone avaient été récupérés par un tiers non autorisé. L’enseigne précisait qu’aucun mot de passe ni aucune donnée bancaire n’était concerné, et que le risque principal portait sur des messages frauduleux relatifs à une commande ou à une livraison. Ce que le courrier ne disait pas, et que la plupart des destinataires n’avaient aucun moyen de deviner, c’est que les systèmes du Printemps n’avaient pas été touchés.

L’incident s’était produit cinq semaines plus tôt, chez un prestataire dont ces clients n’avaient probablement jamais entendu parler : Shipup, une plateforme française créée en 2016 qui gère pour plus de sept cents marques les notifications de suivi de colis. Et l’intrusion chez Shipup découlait elle-même de l’exploitation d’une vulnérabilité dans Metabase, un outil d’analyse de données édité par une société tierce, que Shipup utilisait pour son propre pilotage interne.

Trois niveaux d’organisations, trois relations contractuelles distinctes, et au bout de la chaîne un consommateur qui reçoit une lettre du Printemps à propos d’un incident survenu chez un fournisseur de son fournisseur. Cette configuration n’a rien d’exceptionnel : dans notre observatoire des fuites, environ une fiche sur quatre implique déjà un tiers plutôt que l’organisation dont le nom apparaît dans les titres. L’affaire Shipup a l’intérêt d’être suffisamment documentée, notification par notification, pour qu’on puisse en suivre la propagation étape par étape.

Une seule vulnérabilité, trois niveaux de propagation

La faille : une injection SQL dans un outil de pilotage

La CVE-2026-72898 affecte Metabase, un outil open source de visualisation et d’interrogation de données que les entreprises branchent sur leurs bases pour construire des tableaux de bord. La vulnérabilité se situe dans le point d’entrée de réinitialisation de mot de passe et permet à un attaquant non authentifié d’injecter des requêtes SQL arbitraires, puis d’obtenir des privilèges d’administrateur sur l’instance. Elle est notée 10,0 sur l’échelle CVSS, le maximum.

Metabase a publié les versions corrigées le 6 août 2026. L’éditeur a par ailleurs confirmé que la faille avait été exploitée avant cette date, y compris contre sa propre offre infogérée, ce qui la classe comme vulnérabilité de jour zéro. L’agence américaine CISA l’a inscrite le 11 août à son catalogue des failles activement exploitées, avec une échéance de correction au 14 août pour les agences fédérales, signal habituel d’une exploitation de masse en cours.

L’ampleur potentielle tient à la manière dont Metabase est déployé. Selon une analyse de l’éditeur de sécurité Wiz, environ 13 % des environnements cloud hébergent une instance Metabase auto-hébergée, dont un quart environ est directement accessible depuis Internet, soit de l’ordre de deux mille cinq cents instances exposées. Un outil de pilotage interne n’est pas censé être en façade, mais il l’est souvent, parce qu’il faut bien que les équipes y accèdent.

Le prestataire : dix-huit jours d’accès chez Shipup

Chez Shipup, la période d’accès non autorisé s’étend du 31 juillet au 17 août 2026, date à laquelle la faille a été corrigée et les accès coupés. Le début de cette fenêtre est antérieur de six jours à la publication du correctif, ce qui situe l’intrusion initiale dans la phase de jour zéro et non dans la vague d’exploitation opportuniste qui a suivi la divulgation.

Pendant ces dix-huit jours, des tiers ont exécuté des requêtes sur la base connectée à l’instance et téléchargé des informations relatives aux clients des marques utilisatrices. Les catégories rapportées par les notifications successives sont homogènes : nom, prénom, adresse électronique et, lorsqu’il était renseigné, numéro de téléphone. Ni mots de passe, ni coordonnées bancaires, ni données de paiement. Shipup indique avoir désactivé les accès vulnérables, révoqué les sessions actives, renouvelé les clés et identifiants concernés et renforcé ses contrôles d’accès.

Le périmètre est cohérent avec la fonction du service. Shipup ne traite pas de paiements, il traite ce qu’il faut pour prévenir un client que son colis arrive, c’est-à-dire une identité, un moyen de contact et un rattachement à une commande. C’est peu au regard d’un dossier bancaire, et c’est exactement ce qu’il faut pour construire un message frauduleux crédible sur une livraison en cours.

Les enseignes : une notification chacune, à son rythme

Les marques clientes ont communiqué séparément, sur une période de plus de dix jours. Easypara a notifié ses clients par courrier, l’incident étant documenté publiquement dès le 29 août. Micromania a suivi début septembre, puis Aroma-Zone le 8 septembre, enfin Citadium et Printemps le 9 septembre. Chaque enseigne a rédigé sa propre lettre, avec son propre niveau de détail sur l’origine de l’incident.

Cette dispersion produit un effet que les responsables de traitement sous-estiment souvent : un même consommateur, client de deux de ces enseignes, reçoit deux courriers distincts à quinze jours d’intervalle, décrivant le même incident dans des termes différents. Il n’a aucun moyen de comprendre qu’il s’agit d’un événement unique, et il est donc statistiquement plus enclin à croire à une campagne d’hameçonnage qu’à des notifications authentiques.

La chronologie complète, du 31 juillet au 4 septembre

Les dates établies :

• 31 juillet 2026 : début de la période d’accès non autorisé chez Shipup, avant toute divulgation publique de la vulnérabilité
• 6 août 2026 : Metabase publie les versions corrigées (58.24, 59.21, 60.17, 61.11, 62.9, 63.5 et ultérieures)
• 8 août 2026 : chez l’hébergeur français Scalingo, deux séries d’exfiltration entre 1 h 03 et 4 h 18 sur une instance Metabase interne encore non corrigée
• 11 août 2026 : CISA inscrit la CVE-2026-72898 à son catalogue des vulnérabilités activement exploitées
• 17 août 2026 : Shipup corrige et coupe les accès
• 20 août 2026 : Shipup informe le Printemps de l’incident
• 25 août 2026 : le Printemps notifie la violation à la CNIL
• 29 août 2026 : premières notifications documentées côté enseignes, avec Easypara
• 4 septembre 2026 : les clients du Printemps reçoivent leur courrier

Entre l’intrusion initiale et l’information des personnes concernées, il s’écoule trente-six jours. Aucune étape n’est aberrante prise isolément, et c’est précisément ce qui rend cette chronologie instructive : le délai total est la somme de délais individuellement défendables.

Pourquoi l’outil d’analyse est devenu la cible

Metabase n’héberge pas de données de production. Il s’y connecte, et c’est ce qui en fait une cible plus intéressante que les systèmes qu’il interroge. Une instance de pilotage concentre des extraits provenant de plusieurs bases, souvent dédoublonnés et mis en forme pour être lisibles, avec des identifiants de connexion aux sources stockés dans sa propre configuration. Un attaquant qui obtient l’administration d’une telle instance récupère à la fois un panorama et un trousseau.

Les cas français documentés cet été suivent tous la même logique. Chez Scalingo, la compromission a porté sur un entrepôt analytique interne contenant les métadonnées d’environ 90 000 personnes, sans que les applications de production des clients ni leurs bases ne soient touchées. Chez Shipup, elle a porté sur les données de suivi de livraison de centaines de marques, sans toucher aux systèmes de ces marques. Chez TeleCoop, opérateur télécom coopératif atteint entre le 18 et le 19 août, elle a porté sur des données de contact et des détails d’appels. À chaque fois, le système le mieux défendu n’a pas été franchi, et cela n’a pas empêché la fuite.

Shipup n’est donc qu’un cas parmi d’autres dans une vague dont l’ampleur reste mal mesurée. La même vulnérabilité est associée en France à l’incident TeleCoop et à la revendication visant le service public Zéro Logement Vacant, dont la plateforme est hors ligne depuis le 30 août. À l’international, plusieurs locataires de l’offre infogérée de l’éditeur ont reconnu des accès non autorisés à des données clients remontant à la fenêtre antérieure au correctif. Le point commun de ces organisations n’est ni un secteur, ni une taille, ni un hébergeur : c’est un outil de pilotage exposé et une fenêtre de quelques jours.

Les écarts de réponse méritent d’être relevés, car ils ne relèvent pas de la conformité mais de la vitesse et de la lisibilité. Scalingo a publié un bulletin de sécurité horodaté détaillant le périmètre exfiltré et ce qui ne l’avait pas été, avec quarante-six minutes entre la prise de connaissance et la mise hors ligne, la CNIL notifiée le 11 août et les clients le 12. TeleCoop, alerté par les services de l’État le 19 août dans l’après-midi, a corrigé dès le lendemain et informé ses clients avant même qu’une revendication ne devienne publique, ce qui est l’ordre inverse de celui observé partout ailleurs cet été.

Shipup a confirmé publiquement l’incident le 3 septembre, après que la presse spécialisée l’eut documenté la veille, et ce sont ses enseignes clientes qui ont porté l’information vers les consommateurs, chacune de son côté et avec un vocabulaire variable. La conformité formelle est probablement équivalente dans les trois cas. Ce qui change, c’est le moment où la personne concernée apprend quelque chose, et de qui.

Ce que le RGPD attribue à qui

Le sous-traitant alerte, le responsable de traitement notifie

La répartition est nette dans le règlement, et elle explique la forme prise par cette cascade. Shipup agit ici comme sous-traitant au sens de l’article 28 : il traite des données personnelles pour le compte des enseignes, sur leur instruction documentée, et le contrat qui le lie à chacune doit prévoir son assistance en cas de violation. L’article 33.2 lui impose de notifier le responsable de traitement dans les meilleurs délais après avoir pris connaissance de la violation. Il ne notifie pas la CNIL, et il ne s’adresse pas aux personnes concernées.

Ce sont les enseignes qui portent les deux obligations visibles : notifier l’autorité de contrôle au titre de l’article 33.1, dans les meilleurs délais et si possible dans les soixante-douze heures suivant la prise de connaissance, puis informer les personnes concernées au titre de l’article 34 lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés. D’où le nombre de courriers, et d’où leur étalement.

Le décompte des soixante-douze heures

Le Printemps a été informé le 20 août et a notifié la CNIL le 25, soit cinq jours plus tard. L’écart avec l’objectif de soixante-douze heures n’est pas nécessairement un manquement : l’article 33.1 admet une notification tardive à condition qu’elle soit accompagnée des motifs du retard, et l’article 33.4 autorise une notification par étapes lorsque toutes les informations ne sont pas disponibles simultanément. Dans un incident de ce type, il faut d’abord établir quels clients de l’enseigne figuraient dans le périmètre exfiltré chez le prestataire, ce qui suppose des échanges techniques avec ce dernier.

Le point de vigilance se situe plutôt en amont. Le délai de soixante-douze heures court à partir de la prise de connaissance par le responsable de traitement, pas à partir de l’intrusion. Plus la chaîne de sous-traitance est longue, plus ce point de départ est tardif, et plus le délai réglementaire, respecté à la lettre, s’éloigne du moment où les personnes concernées auraient eu intérêt à savoir. C’est le mécanisme qui produit ici trente-six jours de latence sans qu’aucun acteur ne soit manifestement en faute.

Un quart des fuites de notre observatoire passe par un tiers

Sur les fiches publiées dans notre section fuites de données, dont celle consacrée à la cascade Shipup, 33 décrivaient au 10 septembre 2026 un incident dont le vecteur implique un prestataire, un sous-traitant, un éditeur ou un hébergeur plutôt que l’organisation nommée dans le titre, sur 131 fiches, soit environ une sur quatre. La proportion est stable d’une année sur l’autre, autour de 30 % pour les incidents de 2025 et de 23 % pour ceux de 2026 recensés à cette date.

Ce n’est donc pas une tendance émergente, c’est une structure. Les noms qui apparaissent dans ces fiches donnent la mesure de la diversité des configurations : un prestataire logistique chez Valve, un éditeur de logiciel métier dans la vague immobilier de juillet, un prestataire technique chez Suez Eau France, un sous-traitant de service client chez Discord, un tiers habilité disposant d’un accès au serveur cadastral de la DGFiP. À chaque fois, la même mécanique : l’organisation qui détient la relation client n’est pas celle qui détenait la faille.

Actions concrètes pour les entreprises

Les actions prioritaires :

• Cartographier les sous-traitants qui traitent des données clients, au-delà de la liste contractuelle. Un outil de notification de livraison, un widget d’avis, un chat de support ou une plateforme d’emailing traitent tous des données personnelles, et figurent rarement dans les inventaires établis autour des seuls systèmes cœur de métier.
• Vérifier la clause de notification de l’article 28 dans chaque contrat : elle doit fixer un délai chiffré pour l’alerte du sous-traitant, et non renvoyer aux « meilleurs délais ». Un délai de vingt-quatre ou quarante-huit heures rend le respect des soixante-douze heures possible en aval.
• Exiger du sous-traitant qu’il documente son propre périmètre technique, y compris ses outils internes de pilotage. Une instance d’analyse connectée à la base de production est un point d’exposition qui n’apparaît dans aucune annexe sécurité standard.
• Traiter les outils de pilotage comme des systèmes de production : mêmes délais de correction, même authentification forte, même restriction d’exposition réseau. Le délai réel entre publication d’un correctif critique et exploitation se compte désormais en heures.
• Préparer un modèle de notification en amont, incluant la mention explicite du prestataire concerné. Nommer le tiers permet aux clients de rapprocher plusieurs courriers reçus d’enseignes différentes, et réduit le risque qu’ils prennent la notification pour une tentative d’hameçonnage.
• Recenser les instances Metabase et outils équivalents exposées sur Internet, et vérifier leur version. La CVE-2026-72898 est corrigée depuis le 6 août, mais les instances oubliées sont précisément celles que personne ne recense.

Actions concrètes pour les clients concernés

Ce qu’il faut faire, et ce qu’il ne faut pas faire :

• Traiter avec méfiance tout message relatif à une livraison dans les semaines qui suivent, en particulier ceux demandant un complément de frais de port ou une confirmation d’adresse. C’est le scénario que la combinaison nom, adresse électronique, téléphone et rattachement à une enseigne rend le plus crédible.
• Ne jamais suivre le lien contenu dans un courriel de suivi de colis : passer par le site du transporteur ou l’espace client de l’enseigne, saisis manuellement.
• Vérifier l’authenticité d’une notification de violation en la recoupant avec le site officiel de l’enseigne, plutôt qu’en cliquant sur ce qu’elle contient. Une lettre annonçant une fuite est un prétexte d’hameçonnage classique.
• Ne pas changer de mot de passe par panique sur la foi d’un message reçu : dans cet incident précis, aucun mot de passe n’est concerné, et une invitation pressante à en changer est plutôt un signal d’alerte.

Vers une conformité qui suit la donnée, pas l’organigramme

L’affaire Shipup ne se distingue ni par son volume, ni par la sensibilité des données, ni par une négligence caractérisée. Elle se distingue par sa lisibilité : pour une fois, chaque maillon a laissé une trace datée, et l’on peut lire la propagation d’une vulnérabilité d’un éditeur américain jusqu’à la boîte aux lettres d’un client français, en passant par un prestataire que ce client ignorait.

Ce que cette lecture met en évidence, c’est le décalage entre l’organisation de la conformité et le trajet réel des données. Les registres de traitement, les analyses d’impact et les audits sont construits autour des systèmes que l’entreprise exploite. La donnée, elle, circule vers des tiers qui la recopient dans leurs propres bases, lesquelles alimentent leurs propres outils de pilotage, hébergés sur leurs propres infrastructures. Chaque recopie crée un point d’exposition que le responsable de traitement reste juridiquement tenu de couvrir, et qu’il n’a pratiquement aucun moyen d’observer.

Le chantier utile n’est donc pas de multiplier les clauses, il est de reconstituer périodiquement le trajet effectif de ses données clients, prestataire par prestataire, et de vérifier que chaque étape sait alerter la précédente assez vite pour que la dernière puisse tenir ses délais. Tant que cette cartographie n’existe pas, une organisation apprendra ses propres violations par courrier, comme ses clients.

Besoin d’un accompagnement sur la cartographie de vos sous-traitants et la conformité de votre chaîne de traitement ? Découvrez nos services pour une approche personnalisée.

📚 Sources et références ▼

Sur la vulnérabilité Metabase

• Bishop Fox : Critical SQL Injection in Metabase via Password Reset, CVE-2026-72898
• The Hacker News : Metabase Zero-Day Exploited in Wild Allows Admin Access Without Authentication
• Scalingo · bulletin de sécurité SSB-2026-004
• LeMagIT : Metabase, chronique d'une vulnérabilité aux multiples fuites de données
• CISA · catalogue des vulnérabilités activement exploitées (KEV)

Couverture de la cascade Shipup

• Cyberattaque.org : cyberattaque chez Shipup
• Cyberattaque.org : Easypara, une faille Metabase chez son prestataire expose les coordonnées de certains clients
• Cyberattaque.org : Micromania, ses données clients exposées après une cyberattaque chez Shipup
• Cyberattaque.org : Aroma-Zone, une cyberattaque chez Shipup expose les données de clients
• Cyberattaque.org : Citadium, des informations clients récupérées lors de la cyberattaque contre Shipup
• Cyberattaque.org : Printemps, les données clients dérobées après une cyberattaque chez Shipup
• FrenchBreaches : Shipup, spécialiste du suivi de colis, victime d'une fuite de données

Cadre réglementaire

• CNIL : notifier une violation de données personnelles
• CNIL : sous-traitant, quelles obligations ?