Cookson-CLAL : numéros de carte, dates d'expiration et cryptogrammes extraits lors d'un incident chez un prestataire d'authentification des paiements

Dans la soirée du 30 septembre 2026, FrenchBreaches signale que Cookson-CLAL, industriel français des métaux précieux dont la boutique en ligne fournit la bijouterie, la joaillerie, l’horlogerie et le secteur dentaire, vient de prévenir par courriel une partie de ses clients que les données de la carte bancaire utilisée sur son site ont été extraites. Le message, dont Fuites Infos a publié une capture, évoque un « incident de sécurité concernant un prestataire externe intervenant dans l’authentification des paiements par carte bancaire » et précise que les investigations ont confirmé la présence des données de la carte du destinataire parmi les informations extraites. L’affaire est reprise le 1er octobre par Fuites Infos, InCyber et Cyberattaque.org. Le statut est confirmé puisque l’entreprise reconnaît elle-même l’extraction, mais la date de l’intrusion, la période des paiements concernés et le nombre de clients ou de cartes touchés ne sont pas communiqués.

Le point délicat tient d’abord à la fragilité documentaire : toutes les publications reposent sur ce seul courriel, si bien que le prestataire (non nommé), le mode opératoire et l’identité des auteurs ne sont documentés par aucune source indépendante, et qu’aucune revendication n’a été rapportée. Il tient ensuite à la présence du cryptogramme visuel : les règles PCI DSS interdisent de le conserver après l’autorisation d’un paiement, et la CNIL en proscrit la conservation après la première transaction (délibération n° 2018-303 du 6 septembre 2018, rappelée par Leto). Son extraction pose donc la question d’une capture au moment de la saisie, par la compromission d’un composant du parcours de paiement, plutôt que d’un vol dans une base stockée, sans exclure un stockage indu chez le prestataire. Il s’agit d’une question ouverte et non d’une conclusion : aucune source ne décrit de script malveillant ni de technique d’écrémage de page de paiement, et aucun élément public ne rattache cet incident à d’autres marchands.

Le numéro complet, la date d’expiration, le cryptogramme, le nom associé à la carte et l’adresse électronique correspondent à l’ensemble de ce qu’exige un paiement à distance, sans que la carte physique soit nécessaire. Ces données peuvent servir à des achats frauduleux sur les sites qui n’imposent pas d’authentification forte, certaines opérations en étant dispensées, que la carte soit personnelle ou professionnelle (la proportion de chaque cas n’est pas connue). Le nom, l’adresse électronique et le fait que la carte ait servi chez un fournisseur de métaux précieux alimentent aussi des fraudes au contexte : faux courriels se réclamant de Cookson-CLAL ou de la banque, ou faux appels du service antifraude qui, forts de ces informations exactes, demandent de valider une opération ou de communiquer un code reçu par SMS.

Cookson-CLAL a réagi par ce courriel individuel, dans lequel elle se dit consciente de la sensibilité des informations concernées et présente ses excuses, mais la capture publiée ne montre aucune consigne détaillée. Le courriel ne précise pas si la CNIL a été notifiée, aucune source ne mentionne de plainte et aucun communiqué public de l’entreprise n’a été trouvé. Responsable du traitement, Cookson-CLAL reste en principe tenue de notifier la violation à la CNIL sous 72 heures lorsqu’elle présente un risque pour les personnes, y compris si la faille survient chez un sous-traitant, mais rien de public ne permet de savoir si cette démarche a été accomplie.

Les clients ayant payé par carte sur la boutique et reçu ce courriel ont intérêt à faire opposition auprès de leur banque pour obtenir une nouvelle carte, puisque le numéro, la date et le cryptogramme sont tous trois compromis, alors que changer un mot de passe n’apporterait rien ici, aucun identifiant n’étant concerné. Il convient ensuite de surveiller les relevés, de contester toute opération non reconnue auprès de la banque et de la signaler sur Perceval (service-public.fr), puis de se méfier de tout appel, SMS ou courriel se présentant comme le service fraude de la banque ou comme Cookson-CLAL pour demander de valider une opération ou de transmettre un code : en cas de doute, mieux vaut interrompre l’échange et rappeler la banque au numéro figurant sur la carte. Les professionnels ayant réglé avec une carte d’entreprise préviendront aussi leur service comptable.