Shipup : la faille Metabase chez un prestataire de suivi de livraison touche Printemps, Citadium, Micromania, Aroma-Zone et Easypara

Shipup est une plateforme française qui gère, pour plus de sept cents marques de commerce en ligne, les notifications de suivi de colis adressées à leurs clients. Une de ses instances internes de Metabase, outil d’analyse connecté à ses bases, a été compromise entre le 31 juillet et le 17 août 2026 par l’exploitation de la CVE-2026-72898, une injection SQL non authentifiée notée 10,0 sur l’échelle CVSS. Le début de cette fenêtre précède de six jours la publication du correctif, ce qui situe l’intrusion initiale dans la phase de jour zéro plutôt que dans la vague d’exploitation opportuniste ayant suivi la divulgation.

Les données concernées sont limitées et cohérentes avec la fonction du service : nom, prénom, adresse électronique et numéro de téléphone lorsqu’il était renseigné. Les enseignes affirment de façon concordante qu’aucun mot de passe ni aucune donnée bancaire n’est concerné, et Aroma-Zone ajoute que l’historique de commande et les informations de livraison ne le sont pas non plus, ce qui nuance une description plus large parue dans un article de synthèse. Il ne s’agit pas non plus d’une compromission des systèmes des marques : plusieurs d’entre elles précisent explicitement que leur site, leur système d’information et les comptes clients n’ont pas été touchés.

La propagation est ce qui distingue ce cas. Cinq enseignes ont notifié individuellement leurs propres clients entre le 2 et le 9 septembre : Micromania, Easypara, Printemps, Citadium et Aroma-Zone. Chacune a rédigé sa lettre, avec son propre niveau de détail sur l’origine de l’incident, si bien qu’un consommateur client de deux d’entre elles a reçu deux courriers distincts, à des dates différentes, décrivant le même événement. Cette dispersion rend les notifications plus difficiles à distinguer d’une campagne d’hameçonnage, alors même qu’elles sont authentiques.

La chronologie mérite d’être lue d’un bout à l’autre. L’intrusion commence le 31 juillet, Shipup coupe les accès le 17 août, informe Printemps et Citadium le 20, ces deux enseignes notifient la CNIL le 25, et les clients du Printemps reçoivent leur courrier le 4 septembre. Trente-six jours séparent le premier accès de l’information des personnes concernées, sans qu’aucune étape prise isolément ne soit aberrante : le délai total est la somme de délais individuellement défendables, ce qui est la caractéristique propre aux incidents en cascade.

Aucun décompte de personnes n’a été communiqué, ni par Shipup ni par aucune des enseignes, et cette absence est probablement durable. Le seul ordre de grandeur disponible est indirect : cinq marques ont notifié sur plus de sept cents clientes de la plateforme, ce qui laisse ouverte la question de savoir si les autres n’étaient pas concernées ou ne l’ont pas encore établi.