Intermarché a confirmé avoir été victime d'une cyberattaque ayant permis un accès non autorisé aux informations personnelles de clients de son service Drive. Le Groupement Les Mousquetaires, qui exploite l'enseigne, indique que 287 605 clients ont été identifiés comme concernés, sur environ deux millions d'utilisateurs du service. L'incident, survenu la semaine dernière, a été notifié à la Commission nationale de l'informatique et des libertés ainsi qu'au parquet de Paris.
La requête « cyberattaque Intermarché » est entrée dans les tendances de recherche françaises le 4 août au matin, avec plus de 20 000 recherches sur la journée.
Les points clés
- 287 605 clients Drive concernés, sur environ deux millions d'utilisateurs du service.
- Données exposées : nom, prénom, adresse postale, numéro de téléphone, date de naissance, numéro de carte de fidélité, et certaines informations liées aux commandes passées sur le Drive.
- Aucune donnée bancaire ne semble concernée.
- Notification effectuée à la CNIL et au parquet de Paris.
- Les clients touchés sont invités à redoubler de vigilance face aux tentatives d'escroquerie.
Pourquoi l'absence de données bancaires ne rend pas la fuite anodine
C'est la phrase qui rassure à tort. Un jeu de données réunissant nom, adresse postale, téléphone, date de naissance et historique de commandes n'ouvre pas un compte en banque, mais il rend crédible à peu de frais l'attaque qui, elle, y mène : l'hameçonnage ciblé.
La différence est concrète. Un message générique annonçant un problème de livraison se repère. Un message qui cite votre nom, votre adresse exacte, la date de votre dernière commande Drive et les quatre derniers chiffres de votre carte de fidélité ne se repère plus — il ressemble à ce que l'enseigne vous enverrait vraiment. C'est précisément ce que permet ce type de fuite, et c'est pourquoi la recommandation de vigilance n'est pas une formule.
Le réflexe utile est simple : ne jamais suivre un lien reçu par SMS ou par courriel à propos d'une commande, et se rendre directement sur le site ou l'application de l'enseigne pour vérifier.
Le vrai sujet pour les entreprises : le compte à rebours démarre à la prise de connaissance
Pour les organisations qui lisent cette actualité en se demandant « et si c'était nous », le point central du dossier est le calendrier réglementaire.
L'article 33 du RGPD impose de notifier l'autorité de contrôle dans les 72 heures, et ce délai court à compter du moment où l'organisation a connaissance de la violation — pas du moment de l'intrusion. Une intrusion de mars découverte en août fait démarrer les 72 heures en août. À cela s'ajoute l'article 34 : lorsque le risque pour les personnes est élevé, il faut aussi les informer elles-mêmes, sans délai. Ici, la combinaison identité + contact + historique de commandes est exactement le profil qui pousse vers l'information des personnes.
Deux précisions valent d'être connues, parce qu'elles sont contre-intuitives :
- Notifier en retard reste prévu par le texte. Une notification au-delà de 72 heures doit être accompagnée des motifs du retard. Le pire scénario n'est pas d'être en retard : c'est de ne pas notifier du tout et que l'autorité l'apprenne autrement, ce qui transforme un incident subi en manquement reproché.
- Le RGPD ne s'arrête pas aux frontières de l'Union. Une société tunisienne ou saoudienne qui détient des données de résidents européens entre dans son champ d'application, quel que soit son siège. « Nous ne sommes pas en Europe » n'est pas une exemption — et c'est l'erreur la plus fréquente chez les entreprises du Maghreb et du Golfe qui servent une clientèle européenne.
C'est d'autant plus important que les régimes divergent réellement. La loi saoudienne PDPL impose elle aussi 72 heures pour notifier la SDAIA, mais sans seuil de matérialité : l'entreprise ne peut pas décider qu'une fuite était trop petite pour être déclarée. À l'inverse, la loi organique tunisienne 2004-63, antérieure au RGPD, ne prévoit aucune obligation de notification de violation dans un délai fixé.
Nous avons publié un calculateur de notification de violation de données qui prend la date de prise de connaissance et les juridictions concernées, et calcule l'échéance pour chaque autorité. Le calcul se fait dans le navigateur : aucun détail d'incident n'est transmis.
Pour la partie technique — détecter une fuite, dater la prise de connaissance de façon défendable et produire les éléments qu'une notification doit contenir — le guide de préparation à la notification de violation détaille la mise en œuvre.
Ce qu'il faut retenir
Une fuite sans données bancaires reste une fuite exploitable, et la conformité ne se joue pas le jour de l'incident mais avant : savoir quelles données on détient, où elles sont, et être capable de dater précisément le moment où l'on a su. Les organisations qui perdent le premier jour d'une crise à répondre à ces questions sont celles qui consomment leur délai de 72 heures en enquête interne.