Un caviste ardéchois qui vend en ligne a vu partir les adresses e-mail et les mots de passe de ses clients. Son site protégeait pourtant les mots de passe depuis l’été : c’est une ancienne copie du fichier clients, restée en place, qui les contenait encore en clair. Une histoire qui concerne toutes les PME qui gèrent des comptes clients.
Ce qui s’est passé
Cave Coste, caviste spécialiste de la vallée du Rhône installé à Tournon-sur-Rhône, a reconnu le 3 octobre 2026 qu’une personne malveillante avait exploité une faille de son site entre août et début septembre pour lire son fichier clients (Cave Coste, 3 octobre 2026). La faille a été corrigée début septembre. Mais c’est l’alerte d’un client, le 29 septembre, qui a fait comprendre à l’entreprise ce qui avait vraiment été lu : une ancienne copie du fichier, où les mots de passe étaient lisibles en clair. L’affaire a été relayée le 28 octobre par Cyberattaque.org.
Sont concernés tous les comptes créés avant le 30 juillet 2026, y compris les comptes qui ne servent plus. Le nombre de personnes n’a pas été communiqué. Les données bancaires ne sont pas touchées : le paiement passe par la banque.
Comment l’attaque a fonctionné
L’entreprise ne décrit pas la faille utilisée. Ce que l’on sait est déjà instructif. Pendant l’été, le site avait été amélioré : les mots de passe y étaient désormais conservés sous une forme protégée, illisible même pour l’entreprise. Mais une ancienne copie du fichier clients, faite avant ce changement, était restée en place. L’attaquant n’a pas eu besoin de « casser » quoi que ce soit : il a trouvé une version moins protégée des mêmes données.
Un mot de passe lisible associé à une adresse e-mail est une clé prête à l’emploi. Les escrocs l’essaient aussitôt sur d’autres services : messagerie, réseaux sociaux, banque, outils professionnels. Quand le même mot de passe sert partout, une fuite chez un petit site suffit à ouvrir beaucoup de portes.
L’entreprise a bien réagi : faille corrigée, anciennes copies supprimées, CNIL notifiée, message personnel aux clients joignables, avis public pour les autres et mise en garde contre les faux messages à son nom.
Ce qu’on ne sait pas encore
On ignore la nature de la faille, le nombre de comptes, la date exacte de l’extraction, et si d’autres informations (nom, adresse, commandes) figuraient dans la copie. On ne sait pas non plus si ces données circulent déjà.
Ce que ça change pour une PME
- Faites la chasse aux copies. Votre fichier clients existe rarement en un seul exemplaire : exports pour le marketing, sauvegardes, anciennes versions du site, fichiers envoyés par e-mail. Demandez la liste, gardez le strict nécessaire, protégez-le et détruisez le reste.
- Quand vous renforcez une protection, appliquez-la partout. Une amélioration de sécurité sur la base principale ne protège pas les copies faites avant. Demandez à votre prestataire comment il l’a vérifié.
- Ne stockez jamais un mot de passe lisible. C’est une exigence rappelée par la CNIL dans sa recommandation sur les mots de passe. Votre site ou votre outil doit les transformer de façon irréversible.
- Un mot de passe différent par site, pour vous et vos équipes. Un gestionnaire de mots de passe rend la chose simple. La fiche « Pourquoi et comment bien gérer ses mots de passe ? » de Cybermalveillance.gouv.fr est un bon point de départ.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Savons-nous combien de copies de notre fichier clients existent, où elles sont et qui peut les lire ?
- Comment les mots de passe de nos clients sont-ils conservés, et la dernière amélioration a-t-elle été appliquée à toutes les copies, y compris les sauvegardes ?
- Si notre site était piraté, saurions-nous dire quelles données ont été lues ?
- Qui prévient la CNIL et nos clients en cas de fuite, et dans quel délai ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Mots de passe et accès volés · Sites web et données clients
Cet article prolonge notre bulletin de veille du 29 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.