Depuis le 2 octobre 2026, le revendeur informatique LDLC prévient ses clients qu’un tiers malveillant a pu entrer sans autorisation dans une partie de son informatique. Identité, coordonnées et plusieurs informations de compte ont pu être consultées ; les mots de passe et les données bancaires seraient, selon l’entreprise, restés hors d’atteinte. C’est le quatrième incident de ce genre chez LDLC depuis 2021, et le danger le plus concret pour les clients est désormais l’hameçonnage ciblé.
Ce que LDLC a dit à ses clients
D’après MacGeneration, les premiers courriels d’information sont partis le vendredi 2 octobre. Le groupe y explique qu’un acteur hostile a réussi à atteindre un de ses systèmes informatiques et qu’il a prévenu la CNIL, ainsi que l’exige la loi. Le courrier, analysé par Leto, éditeur d’un logiciel de conformité RGPD, évoque un accès « susceptible » d’avoir permis de consulter certaines données. Le conditionnel compte : LDLC ne dit pas que les fichiers ont été copiés, mais qu’ils ont pu être vus.
Côté réaction, l’entreprise affirme avoir isolé la portion d’infrastructure en cause et revu la manière dont les accès à cette zone sont accordés, toujours selon Leto. En revanche, le message reste muet sur plusieurs points essentiels : quand l’intrusion a eu lieu, comment l’attaquant a procédé, qui il est et combien de clients sont touchés, relèvent MacGeneration et Leto.
La liste des données exposées
MacGeneration, Leto et Next détaillent la même liste. Les informations potentiellement consultées se répartissent en trois familles :
- identité : civilité, nom, prénom et langue du client ;
- coordonnées : adresse postale, adresse électronique, téléphones fixe et mobile, et numéro de fax quand il avait été renseigné ;
- données de compte : code client interne, statut de particulier ou de professionnel, date d’ouverture du compte et date de la dernière connexion.
Toujours selon LDLC, les identifiants de connexion, les mots de passe, les numéros de carte et les RIB ne font pas partie du lot. Prise isolément, chaque donnée paraît anodine. Rassemblées, elles permettent pourtant de rédiger un faux message très convaincant : un escroc peut citer votre code client, savoir si vous achetez pour une entreprise et même évoquer votre dernière visite sur le site.
Les arnaques à anticiper et les bons réflexes
LDLC demande d’ailleurs à ses clients une « vigilance particulière dans les prochaines semaines », rapporte Leto. Selon MacGeneration, ces informations aident un escroc à bâtir de faux courriels ou SMS bien plus crédibles, en usurpant l’identité de LDLC, d’un transporteur ou d’un service après-vente. Le statut particulier ou professionnel figurant dans le lot pourrait en outre servir à adapter le message à sa cible.
Les recommandations relayées par MacGeneration et Leto convergent :
- ne pas cliquer sur un lien reçu par courriel ou par SMS, même s’il semble venir de LDLC ;
- ne jamais transmettre un identifiant, un mot de passe ou une coordonnée bancaire par courriel, SMS ou téléphone ;
- s’équiper d’un gestionnaire de mots de passe et réserver un secret distinct à chaque service, conseille MacGeneration.
Leto, qui s’adresse aux entreprises, met en garde contre une « seconde vague » d’hameçonnage : avec une fiche client complète, un fraudeur produit des messages très crédibles, jusqu’à de faux organismes visant spécifiquement les victimes de fuites. Il conseille aussi aux organisations touchées de rédiger dès maintenant les recommandations de prévention jointes au courrier, en s’inspirant par exemple du dépliant que la CNIL et Cybermalveillance.gouv.fr ont diffusé à l’occasion du Cybermois.
Quatre incidents en cinq ans : ce que dit la récidive
L’historique pèse lourd. MacGeneration rappelle une attaque revendiquée en décembre 2021 par le groupe Ragnar Locker ; Next précise que 29,5 Go de données internes avaient alors été mis en vente. En 2024, le revendeur a subi deux fuites : le 29 février, environ 1,5 million de clients ont vu leurs données dérobées, puis un nouvel incident, d’ampleur inconnue, a suivi en décembre, selon Next. L’incident d’octobre 2026 est donc le quatrième en un peu moins de cinq ans.
Sur le plan juridique, Leto rappelle le cadre du RGPD. L’article 33 impose de prévenir l’autorité de contrôle sous 72 heures dans la mesure du possible, en précisant quels types de données et combien de personnes environ sont touchés. L’article 34 oblige à informer directement les personnes lorsque le risque est élevé. Enfin, l’article 32, qui porte sur la sécurité des traitements, est mis en avant à propos de la répétition des incidents. À ce stade, aucune des trois sources ne fait état d’une sanction ou d’un contrôle de la CNIL visant ce nouvel incident.
Questions fréquentes
Mon mot de passe LDLC a-t-il fuité ?
D’après LDLC, non : identifiants et mots de passe ne figurent pas parmi les données consultées. Si vous utilisez le même mot de passe sur plusieurs sites, le moment est toutefois bien choisi pour le remplacer par des secrets uniques.
Combien de clients sont concernés ?
Le chiffre n’a pas été communiqué. Le message envoyé aux clients ne le précise pas, et ni MacGeneration, ni Leto, ni Next ne disposent d’une estimation.
Que faire si je reçois un message au nom de LDLC ?
Ne cliquez sur aucun lien et ne répondez pas. Connectez-vous directement au site ou appelez le service client par un numéro trouvé vous-même. Un message qui réclame un paiement, un code ou des coordonnées bancaires doit être considéré comme frauduleux.
Sources
- LDLC victime d'un quatrième piratage : les données personnelles de ses clients exposées — MacGeneration, 2026-10-03
- Fuite de données LDLC : ce que dit le courrier aux clients — Leto, 2026-10-05
- Fuite de données : et de quatre pour LDLC — Next, 2026-10-02