LDLC visé par une fuite de données pour la 4e fois

LDLC a commencé à envoyer des e-mails à une partie de ses clients ce vendredi 2 octobre. L'entreprise les prévient qu'un « acte malveillant » a permis à quelqu'un d'accéder sans autorisation à l'un de ses systèmes d'information.

« Nous vous informons qu'un acte malveillant a permis un accès non autorisé à l'un de nos systèmes d'information, susceptible d'avoir entraîné la consultation de certaines données vous concernant », LDLC, communiqué envoyé aux clients.

Cette nouvelle fuite de données touche une liste étendue d'informations personnelles. Nom, prénom, adresse postale, adresse e-mail, numéro de fax, téléphones portable et fixe figurent parmi les éléments consultés. S'y ajoutent des détails liés au compte client : la civilité (monsieur, madame, mais aussi docteur ou maître), la langue, le type de client (particulier ou professionnel), des codes clients techniques, ainsi que les dates d'inscription et de dernière connexion au site.

Les données bancaires épargnées, le risque de phishing souligné

LDLC précise que les coordonnées bancaires et les identifiants de connexion n'ont pas été compromis.

« Vos données bancaires (RIB, numéro de carte), vos identifiants de connexion ou mots de passe n'ont pas été concernés », LDLC, communiqué envoyé aux clients.

L'entreprise dit avoir isolé l'outil visé, révisé les accès à ses systèmes et signalé l'incident à la CNIL, conformément à la réglementation applicable. Elle ne communique toutefois ni le nombre de clients concernés, ni la date exacte ni la méthode d'intrusion utilisée par les pirates. Le risque mis en avant par l'enseigne est l'hameçonnage : les informations dérobées pourraient servir à des tentatives de fraude par SMS ou e-mail usurpant l'identité de LDLC.

Un quatrième incident depuis 2021

Pour LDLC, cet épisode constitue le quatrième incident de cybersécurité connu depuis 2021, selon NextINpact. Fin 2021, le groupe de rançongiciel Ragnar Locker avait déjà visé l'entreprise et mis en vente près de 29,5 Go de données internes. En 2024, LDLC avait connu un double épisode : d'abord le 27 février, quand le groupe de pirates Epsilon Group avait revendiqué le vol de données de 1,5 million de clients des boutiques physiques, selon Economie Matin. Puis un second incident avait été annoncé le 10 décembre de la même année, sans que le volume de données concernées ne soit cette fois rendu public.

La régularité des attaques interroge

La récurrence de ces brèches alimente les interrogations sur la sécurité informatique du distributeur, qui vient pourtant de publier un exercice financier présenté comme record. Le chiffre d'affaires 2025-2026 du Groupe LDLC a atteint 554,1 millions d'euros, en croissance de 3,7%, avec un résultat net positif de 10,2 millions d'euros, selon les résultats publiés par l'entreprise elle-même. Cette embellie financière contraste avec la répétition des incidents de cybersécurité, qui touchent directement la confiance des clients dans la protection de leurs données personnelles.

L'incident de février 2024 avait été confirmé par LDLC comme limité aux clients de ses boutiques physiques, les sites web étant alors épargnés. Cette fois, l'e-mail envoyé aux clients ne mentionne aucune limitation de périmètre, ce qui laisse supposer que la nouvelle fuite pourrait concerner un nombre plus large d'acheteurs, qu'ils aient commandé en ligne ou en magasin. Les clients concernés sont invités à rester vigilants face à tout message leur demandant des informations personnelles ou bancaires par e-mail, SMS ou téléphone.