Répar'stores : devis et factures exposés, l'enseigne met en garde contre les demandes de virement

Le 4 septembre 2026, Répar’stores a informé ses clients par courrier électronique d’un accès non autorisé à certaines de leurs données, situé au 24 août selon la presse spécialisée. L’enseigne, réseau de réparation et de remplacement de volets roulants comptant 320 agences indépendantes, indique avoir notifié la CNIL et déposé plainte auprès des services de police. Les catégories concernées associent l’identité et les coordonnées à l’historique des devis, aux factures et au contenu des messages et commentaires attachés aux dossiers. Ni coordonnées bancaires, ni mots de passe.

C’est pourtant un risque financier que l’enseigne met en avant, et sa consigne mérite d’être lue attentivement. Répar’stores demande à ses clients ayant reçu une facture ou une relance de paiement après le 20 août 2026 de confirmer préalablement l’IBAN auprès de leur intervenant, en passant uniquement par le numéro de téléphone officiel. Elle précise par ailleurs que ni elle ni ses sous-traitants ne contactent les clients par téléphone à propos de cet incident.

Cette recommandation dit tout de la nature du risque. La fraude au virement ne suppose pas de connaître les coordonnées bancaires de la victime, elle suppose de connaître la transaction : qui doit combien à qui, pour quels travaux, à quelle échéance. Un attaquant disposant du devis, de la facture et des échanges associés peut adresser une relance parfaitement crédible, au bon montant, au bon moment, en substituant simplement son propre IBAN à celui de l’artisan. C’est un cas où l’absence de données bancaires dans le périmètre exfiltré ne réduit en rien l’exposition financière des personnes.

Un détail reste inexpliqué : l’enseigne fait porter ses consignes sur les documents reçus après le 20 août sans dire pourquoi cette date a été retenue, alors que l’accès non autorisé est daté du 24. L’écart de quatre jours peut correspondre à une prudence délibérée, à une fenêtre d’exposition plus large que celle communiquée, ou à une première anomalie détectée en amont. En l’état, il vaut la peine d’être noté plutôt qu’interprété.

Les volumes revendiqués n’ont pas été confirmés. L’auteur présumé annonce environ 1,8 million de clients, 1,8 million de factures et 2,4 millions de commandes. Contrairement à d’autres revendications de l’été où les décomptes proposés se contredisaient, ces trois nombres sont cohérents entre eux, avec environ une facture et 1,3 commande par client, et compatibles avec l’activité d’un réseau de 320 agences opérant depuis 2013. Cette cohérence interne ne vaut pas validation, mais elle interdit de les écarter d’emblée.

Le cas soulève enfin une question de responsabilité propre aux réseaux de franchise, déjà relevée par la presse juridique. Le franchiseur choisit l’outil et administre les accès, les franchisés collectent les données au contact du client, et un prestataire informatique opère l’ensemble. Déterminer qui est responsable de traitement, et à quel titre, suppose une cartographie factuelle de qui décide des finalités, des durées de conservation et des autorisations d’accès. Tant que cette répartition n’est pas établie, les clients concernés ne savent pas précisément à qui adresser une demande d’exercice de leurs droits.