ManoMano : fuite via sous-traitant SAV

En janvier 2026, ManoMano, plateforme française de e-commerce spécialisée dans le bricolage et le jardinage, a été touchée par une fuite de données provenant d’un de ses sous-traitants chargés du service client. Selon les notifications adressées par l’entreprise à ses clients et relayées par plusieurs médias spécialisés (IT-Connect, ZATAZ, Journal du Geek, Clubic), un compte d’agent du prestataire a été compromis, permettant l’extraction non autorisée de données personnelles sans intrusion directe dans les systèmes de ManoMano. L’incident a été révélé publiquement courant février 2026, les premières notifications clients ayant circulé autour du 10 février.

Les données concernées comprennent le nom, le prénom, l’adresse e-mail, le numéro de téléphone et, le cas échéant, les échanges avec le service client. ManoMano indique que les mots de passe et les données bancaires ne sont pas concernés et que les données n’auraient pas été modifiées. L’entreprise déclare avoir bloqué le compte compromis dès la découverte, révoqué les accès du prestataire et renforcé les contrôles d’accès. La CNIL, l’ANSSI et la plateforme Urgence Cyber Île-de-France ont été notifiées.

Le volume exact de personnes touchées reste incertain. Un pirate revendique jusqu’à 37,8 millions de comptes via une publication sur le dark web : il s’agit d’une allégation non confirmée par ManoMano, qui n’a pas communiqué de chiffre officiel et évoque les seuls clients ayant contacté le service client. Certaines sources évoquent un centre de support basé à Tunis et un environnement Zendesk, éléments non confirmés officiellement par l’entreprise et à considérer avec prudence.

Compte tenu de la nature des données exposées (coordonnées et historiques d’échanges SAV), le principal risque pour les clients est l’exploitation à des fins d’hameçonnage ciblé (e-mail, SMS, appels) et de tentatives d’usurpation d’identité. La sévérité est qualifiée d’élevée en raison du volume potentiellement très important et du caractère directement exploitable des informations, même en l’absence de mots de passe ou de données financières.