Aroma-Zone : une cyberattaque chez Shipup expose les données de certains clients Aroma-Zone informe certains de ses clients qu’un incident de sécurité ayant touché Shipup, son prestataire chargé du suivi des colis et de l’envoi des notifications de livraison, a permis à un tiers non autorisé d’accéder à certaines données personnelles. Selon le message adressé aux personnes concernées, les accès non autorisés se seraient produits entre le 31 juillet et le 17 août 2026. L’incident ne concerne pas directement les systèmes informatiques d’Aroma-Zone. L’entreprise précise que son site Internet, son système d’information et les comptes de ses clients n’ont pas été compromis. Les informations potentiellement exposées comprennent les noms, prénoms, adresses e-mail et numéros de téléphone lorsqu’ils étaient renseignés. Aroma-Zone indique qu’aucun mot de passe, historique de commande, détail de livraison, donnée bancaire ou information de paiement n’est concerné. :::embed ::: Une cyberattaque chez le prestataire Shipup Aroma-Zone indique que l’incident concerne Shipup, un prestataire technique utilisé notamment pour le suivi des colis et l’envoi de notifications liées aux livraisons. Selon les informations communiquées par l’entreprise, Shipup aurait été victime d’une cyberattaque visant l’un de ses outils internes. L’incident serait lié à une faille de sécurité mondiale affectant un logiciel tiers, qui aurait permis à un attaquant d’accéder sans autorisation à certaines données hébergées par le prestataire. Les accès frauduleux se seraient produits entre : le 31 juillet et le 17 août 2026. Cette période correspond également à celle communiquée dans le cadre d’autres incidents liés à Shipup, notamment chez Micromania. Les systèmes d’Aroma-Zone n’ont pas été compromis Aroma-Zone insiste sur le fait que ses propres systèmes ne sont pas directement à l’origine de la fuite. Selon l’entreprise : • son système d’information n’a pas été compromis ; • son site Internet n’a pas été compromis ; • les comptes clients Aroma-Zone n’ont pas été compromis. Les données concernées avaient été transmises à Shipup dans le cadre de ses missions de suivi des colis et d’envoi des notifications de livraison. Ce fonctionnement est comparable à celui observé chez d’autres clients de Shipup, où les informations exposées étaient utilisées pour les communications associées aux commandes et à leur livraison. Quelles données de clients Aroma-Zone sont concernées ? Dans son message, Aroma-Zone précise que plusieurs catégories de données personnelles ont pu être consultées par le tiers non autorisé. Les informations concernées sont : • les noms ; • les prénoms ; • les adresses e-mail ; • les numéros de téléphone, lorsqu’ils étaient renseignés. Ces données peuvent permettre d’identifier directement certaines personnes et de les contacter. Le nombre exact de clients Aroma-Zone concernés n’a pas été communiqué. Aucun mot de passe ni donnée bancaire concernés Aroma-Zone précise que plusieurs catégories de données sensibles ne sont pas concernées par l’incident. Selon l’entreprise, l’accès non autorisé n’a pas porté sur : • les mots de passe ; • l’historique des commandes ; • les informations détaillées de livraison ; • les données bancaires ; • les informations de paiement. L’entreprise indique donc qu’il n’est pas nécessaire de modifier son mot de passe Aroma-Zone ni de faire opposition à sa carte bancaire uniquement en raison de cet incident. Dans les précédentes notifications liées à Shipup, les enseignes concernées avaient également précisé que les mots de passe et les données bancaires n’étaient pas transmis au prestataire. Shipup aurait corrigé la vulnérabilité exploitée Selon les informations transmises par Aroma-Zone, Shipup affirme avoir pris plusieurs mesures après la découverte de l’incident. Le prestataire indique notamment avoir : • corrigé la vulnérabilité exploitée ; • bloqué les accès non autorisés ; • révoqué les accès compromis ; • renouvelé certains identifiants et clés d’accès ; • renforcé les mesures de sécurité de son infrastructure. Des mesures similaires avaient déjà été rapportées dans le cadre de l’incident Shipup affectant d’autres enseignes. Aroma-Zone a déclenché sa procédure de violation de données Aroma-Zone indique avoir activé sa procédure interne de gestion des violations de données dès qu’elle a été informée de l’incident. L’entreprise explique également avoir demandé des informations complémentaires à Shipup afin de déterminer précisément l’étendue des données concernées. Selon le message adressé aux clients, Aroma-Zone a procédé à une notification auprès de la CNIL et indique suivre les mesures correctrices mises en place par son prestataire. Un risque de phishing et de faux messages de livraison Le principal risque pour les personnes concernées est désormais celui du phishing, du smishing et des appels frauduleux. Les données exposées pourraient permettre à un attaquant de créer des communications personnalisées en
Aroma-Zone (Shipup) : cyberattaque et fuite de données — ce que l’on sait, que faire
