Optic 2000 : fuite alléguée de factures et données franchisés

Le réseau d’opticiens Optic 2000 (groupe Gadol Optic 2000) fait l’objet d’une fuite de données alléguée, signalée sur des plateformes de veille cybersécurité les 24 et 25 mai 2026. Un acteur malveillant identifié sous le nom d’AplaGroup revendique, sur un forum cybercriminel, la récupération de plusieurs milliers de documents internes liés au portail de commande et de gestion des magasins franchisés. Selon les éléments visibles dans la publication, un dossier « Facture » contiendrait environ 7 898 fichiers PDF, accompagnés d’un fichier de données de 7 898 lignes. À ce stade, Optic 2000 n’a pas communiqué publiquement sur l’authenticité ou l’ampleur exacte des données, et aucune décision ou notification de la CNIL n’a été identifiée.

Les données décrites par les sources de veille comprendraient des noms et prénoms, des adresses de livraison et de facturation, des adresses e-mail, des numéros de téléphone mobile et de fax, des coordonnées de gérants et responsables de magasins, ainsi que des références de commandes et de factures. Aucune donnée bancaire ni aucun mot de passe ne figurerait dans les extraits visibles. La fuite semble viser un portail interne destiné aux magasins affiliés plutôt qu’une base de données médicale ou de santé concernant les clients finaux. Le volume de personnes physiques réellement touchées n’est pas quantifié.

Le mode opératoire revendiqué repose sur une faille d’accès de type IDOR : après avoir obtenu les identifiants d’un magasin, l’attaquant aurait découvert un système de génération de PDF accessible via une URL contenant un simple identifiant numérique, dont la modification aurait donné accès aux documents d’autres franchisés. Cette description provient de la revendication de l’attaquant et n’a pas été vérifiée de manière indépendante.

Cette fiche doit être traitée avec prudence. L’information n’est documentée que par des agrégateurs de veille, sans confirmation officielle ni couverture par une presse spécialisée de référence. Par ailleurs, l’indice initial (un agrégateur daté du 8 août 2025) évoque un incident distinct survenu le 30 juillet 2025 et touchant quatre magasins d’Île-de-France, avec des données plus sensibles (numéro de sécurité sociale notamment). Cet incident de 2025 n’a pas pu être confirmé par une source indépendante fiable et pourrait être confondu avec la fuite révélée en mai 2026. Le statut reste donc « allégué » dans l’attente d’une confirmation officielle.