LDLC : accès non autorisé et consultation possible de données clients, quatrième incident connu depuis 2021

Le vendredi 2 octobre 2026, le Groupe LDLC, distributeur lyonnais de matériel informatique et high-tech, a commencé à adresser à ses clients un courriel les informant qu’« un acte malveillant a permis un accès non autorisé à l’un de nos systèmes d’information ». Selon ce message, relayé le jour même par Cyberattaque.org, Fuites Infos et Next, cet accès est « susceptible d’avoir entraîné la consultation de certaines données vous concernant ». L’entreprise ne précise ni le nombre de clients concernés, ni la date de l’intrusion, ni la méthode employée, ni l’identité de l’attaquant, et aucune revendication n’a été relevée dans les sources consultées.

La nuance de cette confirmation mérite d’être soulignée : LDLC reconnaît un accès non autorisé et évoque une consultation possible, sans établir d’exfiltration, de sorte que le verbe « voler » employé dans certains titres de presse, dont celui de Tom’s Guide, est plus affirmatif que le courriel lui-même. Il s’agit par ailleurs du quatrième incident public du groupe depuis 2021, après une attaque revendiquée par Ragnar Locker et annoncée par un communiqué du 29 novembre 2021, une fuite visant les clients des boutiques physiques reconnue le 1er mars 2024 (LDLC précisait alors que les clients web n’étaient pas touchés), puis une nouvelle fuite de données clients annoncée le 10 décembre 2024 sans volume ni vecteur. Le courriel d’octobre 2026 mentionne cette fois des éléments propres aux comptes web (dates d’inscription et de dernière connexion). Rien dans les sources consultées n’établit de lien technique entre ces quatre épisodes, et les chiffres de 2024, notamment les quelque 1,5 million de clients évoqués à l’époque, ne sont pas transposables à celui-ci : c’est la raison pour laquelle aucun nombre de personnes n’est retenu ici.

Les données potentiellement consultées comprennent le nom et le prénom, l’adresse postale, l’adresse électronique, les numéros de téléphone fixe et mobile, le numéro de fax lorsqu’il est renseigné, la langue et la civilité, des codes clients techniques, le type de client (particulier ou professionnel) ainsi que les dates d’inscription et de dernière connexion au compte. Aucun de ces champs n’est sensible pris isolément, mais leur association fournit à un fraudeur de quoi bâtir un message très crédible : un faux service client ou un faux avis de livraison peut citer le bon nom, la bonne adresse, le code client et la date d’ouverture du compte, et adapter son scénario au type de client (une facture pour un professionnel, un colis pour un particulier). LDLC reconnaît d’ailleurs elle-même que ces données pourraient servir à des tentatives de fraude et d’hameçonnage. Selon l’entreprise, les coordonnées bancaires, les identifiants de connexion et les mots de passe ne sont pas concernés, une affirmation qui n’a pas pu être vérifiée de façon indépendante.

Du côté de la réaction, LDLC indique avoir isolé la solution concernée, révisé la stratégie d’accès aux systèmes touchés et notifié l’incident à la CNIL « conformément à la réglementation applicable », sans indiquer la date de cette notification. Au 8 octobre 2026, aucun communiqué public de LDLC sur cet incident n’a été trouvé, alors que les épisodes précédents avaient donné lieu à des communiqués du groupe : l’information repose donc sur le courriel adressé aux clients, que la presse spécialisée cite sans que son texte intégral ait pu être consulté. Les sources lues ne précisent pas non plus si d’autres enseignes du groupe, comme Materiel.net ou Top Achat, sont concernées.

Pour les clients, LDLC demande une vigilance particulière dans les prochaines semaines et rappelle qu’elle ne réclame jamais de mot de passe, de coordonnées bancaires ou de changement de RIB par courriel, SMS ou téléphone. Le changement de mot de passe n’est pas imposé, puisque les identifiants ne seraient pas concernés, mais il reste une précaution peu coûteuse. Face à tout message se réclamant de LDLC, il est préférable de ne pas cliquer sur les liens reçus et de vérifier la demande en saisissant soi-même l’adresse du site ou en consultant son espace client ; les messages suspects peuvent être signalés à Signal Spam pour les courriels et au 33700 pour les SMS et les appels, et les clients professionnels ont intérêt à contrôler par un canal indépendant toute demande de modification de coordonnées de paiement.