Bureau Vallée : deux revendications successives, jusqu'à 4,82 millions de clients concernés

Le 9 août 2026, l’acteur agissant sous le pseudonyme ZeroBytes a revendiqué l’extraction de 55 949 enregistrements clients de Bureau Vallée, enseigne française de fournitures de bureau. Le fichier, nommé clients.jsonl, a été annoncé comme diffusé gratuitement sur un forum de fuites, ce qui en élargit mécaniquement la circulation par rapport à une mise en vente.

Le récit de l’attaquant est inhabituellement précis sur les limites de son opération. Il indique avoir repéré le 7 juillet 2026 un accès à une API de l’enseigne permettant de récupérer des enregistrements clients, avoir interrompu volontairement l’extraction après environ 55 000 résultats en raison de temps de réponse très lents, puis avoir constaté le lendemain que l’accès n’était plus disponible. Les 55 949 enregistrements se ramèneraient, toujours selon lui, à 21 921 personnes distinctes, un même client pouvant apparaître plusieurs fois.

Le 21 août, une seconde revendication d’une tout autre ampleur a visé la même enseigne, publiée cette fois par un acteur agissant sous le pseudonyme « misere ». Elle porte sur 13 725 669 enregistrements bruts, ramenés à 4 819 927 après dédoublonnage, sur des données couvrant la période 2021-2026. L’auteur affirme que les fichiers proviennent non pas des systèmes de l’enseigne mais d’un prestataire tiers manipulant des exports clients de magasins, sous forme de fichiers CSV déposés sur un serveur FTP. Cette annonce faisait partie d’une série de cinq publiées le même jour, avec Beauty Success, Allobébé, Made in Bébé et la protection civile.

Les données décrites dans les deux épisodes comprennent les nom et prénom, l’adresse e-mail, le numéro de téléphone, les adresses de facturation et de livraison ainsi que diverses informations liées aux comptes clients. Pour les comptes professionnels s’ajoutent la raison sociale, le SIREN, le SIRET, le numéro de TVA intracommunautaire et le nom commercial, un ensemble directement exploitable pour des tentatives de fraude au faux fournisseur ou au changement de RIB visant des TPE et PME.

Le statut reste « alléguée » : Bureau Vallée n’a pas communiqué publiquement à la date de rédaction, et ni l’authenticité complète des fichiers ni le nombre exact de personnes concernées n’ont été vérifiés de façon indépendante. Le rapprochement entre les deux revendications reste ouvert : la première décrit une extraction directe et limitée par une API, la seconde un stock d’exports détenu par un prestataire, deux chemins d’accès distincts vers le même fichier client. ZeroBytes est par ailleurs le même acteur que celui ayant revendiqué la fuite visant le Drive d’Intermarché, les intrusions à la DGFiP et les fichiers de l’Éducation nationale.