YouFid : 1,9 million d'enregistrements de fidélité revendiqués, puis 7 880 profils effectivement diffusés

Le 24 août 2026, un acteur se présentant sous le pseudonyme « Lagui1337 » a mis en vente pour mille euros en cryptomonnaie une base attribuée à YouFid, solution française de carte de fidélité dématérialisée déployée chez des commerçants de proximité et des enseignes de restauration rapide. L’annonce portait sur 1 899 454 enregistrements et s’appuyait sur un échantillon de mille lignes, contenant des inscriptions remontant à 2015 et 2016.

Le cas offre une illustration nette de la différence entre une revendication et une diffusion. La base annoncée en août n’a jamais été mise en circulation, et rien ne permet d’en authentifier autre chose que l’échantillon. Le 5 septembre, un second épisode s’est produit, cette fois avec diffusion effective et gratuite sur plusieurs plateformes de partage : 7 880 profils comportant nom, adresse électronique, téléphone et date d’inscription. FrenchBreaches attribue cette seconde publication à un acteur distinct, « ChimeraZ », ce qui interdit de traiter les deux épisodes comme une seule séquence continue.

Le décompte de 1,9 million est un nombre d’enregistrements, pas de personnes. La structure décrite par la revendication le confirme indirectement : une adresse électronique figure dans 99 % des lignes, un téléphone dans 49 %, un nom dans un tiers des cas environ et une date de naissance dans 23 % des profils. Un tel profil de remplissage est caractéristique d’une base agrégeant des inscriptions successives chez plusieurs commerçants, où une même personne peut apparaître autant de fois qu’elle a scanné une carte dans une enseigne différente.

Les enseignes qui apparaissent dans l’échantillon, dont des chaînes de restauration rapide, y figurent comme commerces partenaires ayant utilisé la solution, ce qui ne traduit aucune compromission de leurs propres systèmes. La configuration est celle d’une fuite chez un prestataire mutualisé, avec des clients finaux répartis sur des dizaines de marques qui n’ont pour la plupart pas connaissance de leur exposition. Aucune communication de l’éditeur, aucune notification à la CNIL et aucune information des commerçants clients n’a pu être retrouvée à la date de rédaction.