Citadium : des clients concernés par la cyberattaque visant Shipup Citadium, enseigne appartenant au groupe Printemps, est également concernée par l’incident de sécurité lié à Shipup, prestataire intervenant dans le suivi des commandes et des livraisons. Des données personnelles de certains clients ont pu être exposées. L’incident s’inscrit dans le contexte plus large de la cyberattaque ayant touché Shipup, dont les services sont utilisés par plusieurs enseignes pour assurer le suivi post-achat et les notifications liées aux livraisons. Les informations potentiellement concernées comprennent notamment des données d’identification et de contact de clients. Le nombre exact de personnes touchées n’est pas connu à ce stade. Citadium également concerné par l’incident Shipup Citadium, enseigne du groupe Printemps, fait partie des marques concernées par l’incident de sécurité ayant touché le prestataire Shipup. Shipup intervient auprès de nombreuses enseignes de commerce en ligne pour assurer notamment le suivi des colis et les communications post-achat liées aux livraisons. L’incident trouve son origine dans l’environnement du prestataire et non, selon les éléments dont nous disposons, dans une compromission directe du site de Citadium. Une attaque contre un outil du prestataire L’incident Shipup est lié à l’exploitation par un tiers non autorisé d’une vulnérabilité affectant un outil utilisé par le prestataire. L’exploitation de cette faille aurait permis à l’attaquant d’effectuer des requêtes sur des bases de données et d’en extraire certaines informations. Ces bases pouvaient contenir des données transmises par les enseignes clientes de Shipup dans le cadre du suivi des commandes et des livraisons. Quelles données sont concernées ? Les informations exposées dans le cadre de l’incident Shipup peuvent notamment comprendre des données permettant d’identifier ou de contacter les clients. Selon les éléments dont nous disposons, les catégories de données potentiellement concernées comprennent notamment : • les noms et prénoms ; • les adresses e-mail ; • les numéros de téléphone. Le nombre exact de clients Citadium concernés n’est pas connu à ce stade. Un risque de phishing ciblé L’exposition de données d’identité et de contact peut principalement être exploitée dans le cadre de campagnes de phishing, de smishing ou d’appels frauduleux. Le contexte de Shipup présente un risque particulier : le prestataire intervient dans le suivi des commandes et des livraisons. Des attaquants pourraient ainsi tenter de se faire passer pour Citadium, Shipup, un transporteur ou un service de livraison afin d'inciter les victimes à cliquer sur un lien frauduleux ou à communiquer des informations supplémentaires. Les clients doivent donc être particulièrement vigilants face aux messages inattendus évoquant un colis, une livraison, une commande ou un remboursement. Un incident qui touche plusieurs enseignes Citadium n’est pas la seule enseigne concernée par l’incident. Plusieurs entreprises utilisant les services de Shipup ont informé leurs clients d’un accès non autorisé à certaines données personnelles. Printemps, qui appartient au même groupe que Citadium, est également concerné. Printemps indique notamment avoir été informé de l’incident le 20 août 2026 et avoir notifié la violation de données à la CNIL le 25 août 2026. Ce qui reste à déterminer Plusieurs éléments restent encore à préciser concernant Citadium : • le nombre exact de clients concernés ; • la période exacte d’exposition des données Citadium ; • le volume d’informations effectivement consultées ou téléchargées ; • l’étendue exacte des catégories de données concernées ; • l’identité de l’attaquant ou du groupe responsable. Conclusion Citadium est également concerné par l’incident de sécurité ayant touché Shipup, prestataire utilisé dans le cadre du suivi des commandes et des livraisons. L’incident pourrait avoir exposé des données d’identification et de contact de certains clients, notamment des noms, prénoms, adresses e-mail et numéros de téléphone. Citadium appartient au groupe Printemps, dont l’enseigne Printemps a également informé certains de ses clients d’une fuite de données liée à un prestataire intervenant dans le suivi des commandes et des livraisons. Le principal risque reste celui de tentatives de phishing ou de smishing personnalisées, notamment sous la forme de faux messages relatifs à une commande ou à une livraison. Le nombre exact de clients Citadium concernés reste à déterminer.
Citadium (Shipup) : cyberattaque et fuite de données — ce que l’on sait, que faire
