Cyberattaque chez Shipup : des données clients de Micromania, Easypara, Aroma-Zone, Printemps et Citadium exposées Shipup, plateforme spécialisée dans le suivi des livraisons et l’expérience post-achat des sites e-commerce, a été touchée par la campagne de cyberattaques ayant exploité une vulnérabilité critique dans Metabase. L’incident a entraîné l’accès non autorisé à des données de consommateurs appartenant à plusieurs enseignes utilisant ses services, dont Micromania, Easypara, Aroma-Zone, Printemps et Citadium. Les informations exposées comprennent notamment des noms, prénoms, adresses e-mail et numéros de téléphone, selon les données détenues pour chaque client. L’étendue globale de la compromission reste inconnue. Shipup indique accompagner plus de 700 marques, sans que cela signifie que l’ensemble de ses clients a été affecté. Shipup touché par la campagne contre Metabase Créée en 2016, Shipup fournit aux sites e-commerce une plateforme permettant de gérer le suivi des colis et les communications envoyées aux consommateurs après une commande. Le service permet notamment d’envoyer des e-mails et SMS de suivi, de proposer des pages de tracking personnalisées et de détecter certains incidents de livraison. Son activité implique donc le traitement d’informations liées aux clients, commandes, livraisons et numéros de suivi. Shipup a été identifié parmi les organisations touchées par la campagne de cyberattaques visant Metabase, un logiciel utilisé par les entreprises pour explorer et visualiser leurs bases de données. Une vulnérabilité critique de Metabase exploitée La campagne a exploité une vulnérabilité jusque-là inconnue affectant Metabase. Parmi les failles corrigées figure la CVE-2026-72898, une vulnérabilité critique notée 10/10 et activement exploitée. Une exploitation réussie pouvait notamment permettre une injection SQL et donner accès à des informations présentes dans les bases de données connectées à une instance vulnérable. Metabase a commencé son investigation après le signalement, le 3 août 2026, d’un comportement anormal chez un client Cloud. Les premiers correctifs ont été publiés le 6 août 2026. Selon l’éditeur, moins de 3 % de ses clients Cloud ont été compromis avant la mise en place des mesures correctives. Des installations auto-hébergées exposées sur Internet ont également été touchées. Micromania, Easypara, Aroma-Zone, Printemps et Citadium concernés Les conséquences de la compromission de Shipup sont désormais visibles à travers plusieurs incidents signalés par des enseignes utilisant ses services. Parmi les entreprises actuellement identifiées figurent : • Micromania ; • Easypara ; • Aroma-Zone ; • Printemps ; • Citadium. Les données exposées varient selon les enseignes et les informations renseignées par les consommateurs. Elles comprennent notamment des noms, prénoms, adresses e-mail et numéros de téléphone. Micromania Micromania a informé certains clients d’un incident chez son prestataire chargé du suivi des colis et des notifications de livraison. L’enseigne précise qu’aucun mot de passe ni aucune donnée bancaire ou de paiement n’est concerné. Ses propres systèmes, son site Internet et les comptes clients n’ont pas été compromis. Micromania ne nomme pas directement Shipup dans sa notification, mais la relation entre les deux entreprises est publiquement documentée : Shipup présente Micromania comme l’un de ses clients pour ses services de suivi et de notifications de livraison. Easypara Easypara a également signalé un incident touchant un prestataire utilisé pour les communications relatives aux livraisons. L’entreprise indique que l’incident résulte d’une vulnérabilité jusque-là inconnue de Metabase, exploitée dans le cadre d’une campagne mondiale. Les informations exposées comprennent notamment des noms, prénoms, adresses e-mail et numéros de téléphone. Aroma-Zone Aroma-Zone a confirmé à son tour une fuite de données liée à Shipup, son prestataire utilisé dans le cadre du suivi des livraisons. L’incident a entraîné l’exposition de certaines informations personnelles de clients, comprenant notamment des noms, adresses e-mail et numéros de téléphone. Aroma-Zone rejoint ainsi les autres enseignes concernées par la compromission du prestataire Shipup. Printemps Printemps a également informé certains clients d’un incident de sécurité survenu chez son prestataire Shipup, spécialisé dans le suivi des colis et les communications liées aux livraisons. L’incident a permis un accès non autorisé à certaines informations personnelles de clients. Les données concernées comprennent notamment des noms, prénoms, adresses e-mail et numéros de téléphone, selon les informations renseignées. Citadium Citadium, enseigne du groupe Printemps, est également concerné par l’incident touchant Shipup. Certains clients ont été informés que des informations personnelles associées au suivi de leurs commandes avaient pu être exposées. Les données concernées comprennent notamment des noms, prénoms, adress
Shipup : cyberattaque et fuite de données — ce que l’on sait, que faire
