Allobébé : 1,13 million de clients revendiqués sur vingt ans de commandes
Le 21 août 2026, un acteur revendique une base de 1 136 058 clients attribuée à Allobébé, couvrant les commandes de 2006 à 2026 : adresses e-mail et adresses postales en tête des champs exposés.
- Organisation
- Allobébé (vente en ligne de puériculture)
- Secteur
- Retail / e-commerce
- Pays
- France
- Date des faits
- Revendication publiée le 21 août 2026 sur un forum cybercriminel, dans une série visant cinq organisations françaises le même jour ; aucune communication de l'enseigne à la date de rédaction
- Ampleur
- 1 136 058 personnes revendiquées par l'attaquant, sur des données couvrant la période 2006-2026. Aucun chiffre confirmé par l'enseigne
- Vecteur
- Non déterminé. Les revendications publiées le même jour contre plusieurs enseignes évoquent l'accès à un prestataire tiers manipulant des exports de fichiers clients, hypothèse non vérifiée
- Données exposées
- Identité (nom, prénom), Adresses e-mail, Adresses postales, Éléments de commande
Le 21 août 2026, un acteur agissant sous le pseudonyme « ChimeraZ » a revendiqué une base attribuée à Allobébé, site de vente en ligne de produits de puériculture, portant sur 1 136 058 personnes. La particularité de ce fichier tient à sa profondeur historique : les données couvriraient la période allant de 2006 à 2026, soit vingt années de commandes accumulées dans le même système.
Les champs mis en avant sont les adresses e-mail et les adresses postales, associées à l’identité et à des éléments de commande. Le jeu paraît modeste comparé à des fuites incluant coordonnées bancaires ou numéros de Sécurité sociale, mais son contexte lui donne une valeur particulière. Une commande de puériculture datée renseigne indirectement sur la présence d’un enfant dans le foyer et sur son âge approximatif, information que des campagnes de démarchage ou d’hameçonnage savent exploiter, d’autant que l’adresse postale complète y figure.
La durée de conservation constitue l’autre enseignement. Un client ayant passé une commande en 2006 n’a aucune raison de figurer encore dans une base active vingt ans plus tard : le RGPD impose de définir une durée de conservation proportionnée à la finalité du traitement, et l’accumulation sans purge transforme mécaniquement chaque incident en fuite historique touchant des personnes qui avaient oublié jusqu’à l’existence de leur compte.
Le statut reste « alléguée » : l’enseigne n’a pas communiqué à la date de rédaction et l’authenticité complète du fichier n’a pas été vérifiée de manière indépendante, même si les analystes jugent l’échantillon crédible. Cette revendication s’inscrit dans une série publiée le même jour, qui visait également Beauty Success, Bureau Vallée, Made in Bébé et la protection civile.