Fuite de données Delicity : une cyberattaque expose les données personnelles de clients Delicity, plateforme française de commande, réservation et livraison de repas mettant en relation consommateurs, restaurants et livreurs, confirme avoir subi une cyberattaque ayant permis à un tiers non autorisé d’accéder à des données personnelles entre le 9 et le 24 août 2026. Noms, e-mails, téléphones, historiques de commandes et d’autres informations ont pu être consultés. L’entreprise a publié le 2 septembre 2026 une information concernant cette violation de données personnelles, qui touche potentiellement ses consommateurs ainsi que ses restaurateurs et livreurs partenaires. L’incident a été découvert le 24 août 2026 à 9 h 37. Selon Delicity, une première mesure de sécurisation a été prise deux minutes plus tard et l’accès de l’attaquant a été coupé le jour même. image Une vulnérabilité critique de Metabase exploitée Delicity attribue la cyberattaque à l’exploitation d’une vulnérabilité critique de Metabase, un outil d’analyse de données utilisé en interne. La faille est identifiée par l’entreprise sous la référence CVE-2026-72898. Selon Delicity, cette vulnérabilité aurait été exploitée avant sa divulgation publique dans le cadre d’une campagne ayant visé plusieurs milliers d’organisations dans le monde en août 2026. Quelles données ont été compromises chez Delicity ? Plusieurs catégories de données personnelles ont pu être consultées : • noms et prénoms ; • adresses e-mail ; • numéros de téléphone. Selon les utilisateurs, d’autres informations peuvent également être concernées : • adresses de livraison ; • historiques de commandes ; • empreintes bcrypt des mots de passe ; • quatre derniers chiffres de cartes bancaires ; • contenu de SMS envoyés par Delicity. Toutes les personnes concernées ne sont pas nécessairement touchées par l’ensemble de ces catégories. Aucun numéro complet de carte bancaire exposé Delicity affirme qu’aucun numéro complet de carte bancaire ni cryptogramme n’a été compromis. L’entreprise explique ne pas stocker ces informations, les paiements étant traités par son prestataire Stripe. Les quatre derniers chiffres de certaines cartes bancaires ont toutefois pu être consultés. Aucun mot de passe en clair Des empreintes de mots de passe protégées avec bcrypt peuvent également être concernées par la fuite. Delicity affirme qu’aucun mot de passe en clair n’a été exposé. Par précaution, l’entreprise a néanmoins réinitialisé tous les mots de passe, invalidé les sessions et jetons de connexion et imposé la création d’un nouveau mot de passe. Le phishing ciblé comme principal risque Delicity considère le phishing ciblé comme le principal risque pour les personnes touchées. La combinaison d’un nom, d'une adresse e-mail, d'un numéro de téléphone et éventuellement d'informations relatives aux commandes pourrait permettre de créer des emails, SMS ou appels frauduleux particulièrement crédibles. Delicity recommande de se méfier des communications inattendues prétendant provenir de la plateforme, d’un restaurant, d’une banque ou d’un service de livraison. Aucune modification des données selon Delicity L’entreprise affirme que l’accès de l’attaquant était limité à la lecture. Selon Delicity, aucune donnée n’a été modifiée ou supprimée et aucune opération n’a été réalisée au nom des utilisateurs. La communication ne précise toutefois pas le volume exact de données éventuellement copiées ou exfiltrées. Les mesures prises après la cyberattaque Après la découverte de l’intrusion, Delicity indique avoir notamment : • corrigé la vulnérabilité ; • effectué une rotation des identifiants et clés d’accès ; • supprimé les accès créés par l’attaquant ; • purgé les sessions ; • neutralisé les liens de documents exposés ; • réinitialisé les mots de passe et jetons de connexion ; • retiré ses outils internes de leur exposition à Internet ; • déployé une détection des comportements anormaux ; • mis en place une double authentification par SMS. Une enquête interne a également été ouverte afin d’établir l’ampleur de l’incident et d’identifier les comptes concernés. Delicity a notifié la CNIL et déposé plainte Delicity indique avoir notifié la violation de données à la CNIL au titre de l’article 33 du RGPD. L’entreprise confirme également avoir déposé une plainte pénale auprès du Procureur de la République. Les personnes concernées sont informées individuellement par e-mail ou SMS ainsi que par la publication d’une page dédiée. Combien de personnes sont concernées ? Delicity ne communique pas le nombre exact de personnes touchées. Il n’est donc pas possible de déterminer publiquement : • le nombre de consommateurs concernés ; • le nombre de restaurateurs ou livreurs touchés ; • le volume total de données consultées ; • le volume éventuellement exfiltré. Aucun groupe cybercriminel n’est identifié et aucune demande de rançon ou attaque par ransomware n’est mentionnée. Ce qui est confirmé ✅ Un accès non autorisé a eu lieu entre le
Delicity : cyberattaque et fuite de données — ce que l’on sait, que faire
