La réponse courte
Le Groupement Les Mousquetaires a confirmé le 3 août 2026 une cyberattaque sur le Drive Intermarché ayant exposé les données de 287 605 clients : nom, adresse, téléphone, date de naissance, numéro de carte de fidélité et historique de commandes. Ni les mots de passe, ni les adresses e-mail, ni les données bancaires ne seraient concernés. L incident a été notifié à la CNIL et au parquet de Paris.
Le vrai enseignement pour les équipes techniques n est pas « il faut chiffrer les mots de passe » — c est déjà acquis — mais que des données jugées anodines suffisent à alimenter des campagnes de hameçonnage ciblé contre vos clients e-commerce. La minimisation des données et la surveillance des accès valent autant que la protection des secrets.
Ce que l'on sait de l'attaque
Selon le Groupement Les Mousquetaires, maison mère d Intermarché, l intrusion a visé les serveurs du service de courses en ligne Drive Intermarché. L enseigne a identifié 287 605 clients concernés, sur environ deux millions d utilisateurs du service, et les a notifiés individuellement. L enquête étant toujours en cours, ce chiffre pourrait évoluer.
Les données exfiltrées comprennent les nom et prénom, adresse postale, numéro de téléphone, date de naissance, numéro de carte de fidélité et certaines informations liées aux commandes passées sur le Drive. L enseigne affirme en revanche que les données bancaires, les mots de passe et les adresses e-mail ne sont pas concernés. Dans son courriel aux clients touchés, Intermarché invite à la vigilance face à d éventuelles tentatives de phishing.
L incident, survenu la semaine précédant l annonce, a été notifié à la CNIL et a fait l objet d une plainte auprès du parquet de Paris. C est le déroulé attendu d une violation de données sous RGPD — et, pour une fois, il a l air d avoir été respecté dans les temps.
Pourquoi une fuite « sans mot de passe » reste dangereuse
Le réflexe rassurant est de lire « pas de mots de passe, pas de données bancaires » et de conclure que le risque est limité. C est une erreur de perspective. Un attaquant qui dispose de votre nom, de votre adresse, de votre numéro de téléphone, de votre date de naissance et du détail de votre dernière commande peut construire un message d hameçonnage bien plus convaincant que n importe quel spam générique. Il peut se faire passer pour le service client, citer une commande réelle, et rediriger vers une fausse page de paiement.
C est le paradoxe des fuites de données de « second rang » : elles ne provoquent pas de débit immédiat, donc elles paraissent bénignes, mais elles alimentent une chaîne d attaques qui, elle, peut viser directement le portefeuille de la victime. La date de naissance et le numéro de carte de fidélité sont aussi des éléments souvent utilisés pour vérifier une identité par téléphone. Une fuite de PII, même partielle, augmente durablement le risque d ingénierie sociale contre une population identifiée et adressable.
Pour les équipes qui construisent des plateformes clients, la conséquence est claire : la valeur défensive d une donnée ne se mesure pas à sa sensibilité apparente, mais à ce qu un attaquant peut en faire une fois combinée aux autres.
Les leçons techniques pour les plateformes e-commerce
La première leçon est celle de la minimisation des données. Faut-il vraiment stocker la date de naissance complète d un client pour lui livrer ses courses ? Faut-il conserver l historique détaillé des commandes indéfiniment, accessible depuis le même service qui gère les livraisons du jour ? Chaque champ collecté « au cas où » devient un actif à protéger et un passif en cas de fuite. Réduire la donnée collectée et raccourcir sa durée de conservation est la mesure de sécurité la moins coûteuse et la plus sous-utilisée.
La deuxième leçon touche à la segmentation et au contrôle des accès. Une intrusion « sur les serveurs du Drive » qui remonte des centaines de milliers de fiches clients suggère qu un même périmètre donnait accès à l ensemble du référentiel. Cloisonner les données, chiffrer au repos, limiter les droits applicatifs au strict nécessaire et journaliser les accès massifs sont des mesures qui transforment une intrusion en incident contenu plutôt qu en exfiltration de masse. Un audit de sécurité et un test d intrusion réguliers sont là pour révéler ces chemins avant qu un attaquant ne le fasse.
La troisième leçon est celle de la détection. Le RGPD impose de notifier une violation à la CNIL dans les 72 heures suivant sa découverte. Or on ne peut notifier que ce que l on détecte : sans supervision des flux sortants, sans alertes sur les requêtes anormales, une exfiltration peut passer inaperçue pendant des semaines, et le compteur des 72 heures ne démarre jamais au bon moment. La conformité RGPD est, à ce titre, d abord un problème d ingénierie d observabilité.
Ce que peuvent faire les équipes dès maintenant
Sans attendre le prochain incident, quelques priorités concrètes pour une plateforme e-commerce ou omnicanale :
- Cartographiez vos données personnelles. Sachez précisément quels champs sont stockés, où, pour combien de temps et qui peut y accéder. On ne protège pas ce qu on n a pas recensé.
- Coupez ce qui est superflu. Supprimez les champs non indispensables, anonymisez l historique ancien, appliquez des durées de rétention. Moins de données, moins d exposition.
- Cloisonnez et chiffrez. Séparez le référentiel client des services opérationnels, chiffrez au repos, et limitez les accès applicatifs par le principe du moindre privilège.
- Instrumentez la détection. Alertes sur les extractions massives, supervision des flux sortants, journalisation des accès sensibles — pour que les 72 heures RGPD partent d une détection réelle, pas d un signalement externe.
- Répétez le plan d incident. Qualification, notification CNIL, communication aux clients, dépôt de plainte : la chaîne doit être écrite et testée avant la crise, pas improvisée un dimanche soir.
Aucune plateforme n est à l abri, et cet article ne constitue pas un avis juridique. Mais le message de l affaire Intermarché est limpide : la question n est plus de savoir si un service e-commerce sera visé, mais si son architecture limitera les dégâts le jour venu. Les équipes qui s en sortiront le mieux sont celles qui auront traité la donnée client comme un risque à réduire, pas comme un capital à accumuler.
Questions fréquentes
Quelles données ont été exposées lors de la cyberattaque Intermarché ?
Selon le Groupement Les Mousquetaires, les données exposées concernent les clients du service Drive : nom, prénom, adresse postale, numéro de téléphone, date de naissance, numéro de carte de fidélité et certaines informations relatives aux commandes passées. L enseigne indique que les données bancaires, les mots de passe et les adresses e-mail ne sont pas concernés. 287 605 clients du Drive, sur environ deux millions, ont été identifiés comme touchés.
Une fuite sans mots de passe ni données bancaires est-elle vraiment grave ?
Oui. Même sans mots de passe ni numéros de carte, la combinaison nom, adresse, téléphone, date de naissance et historique de commandes suffit à rendre des tentatives de hameçonnage très crédibles. Un fraudeur peut se faire passer pour le service client et citer une commande réelle. Le risque principal est donc le phishing ciblé et l usurpation, pas le débit direct.
Que doit faire une entreprise en cas de violation de données personnelles ?
Le RGPD impose de notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si le risque pour les personnes est improbable. Lorsque le risque est élevé, les personnes concernées doivent aussi être informées. En pratique, cela suppose d avoir préparé à l avance la détection, la qualification de l incident, la journalisation et une chaîne de décision claire, sans quoi le délai de 72 heures est intenable.
Sources
Connexion France (AFP) — Intermarché cyberattack affects nearly 300,000 customers
Le Monde Informatique — Intermarché victime d'une fuite de données après une cyberattaque
Génération-NT — Fuite de données chez Intermarché : quelles informations compromises ?
RetailDetail EU — Intermarché falls victim to cyberattack: 300,000 customers affected