Printemps : une cyberattaque chez un prestataire expose les données de certains clients Printemps informe certains de ses clients qu’un incident de sécurité survenu chez l’un de ses prestataires chargé du suivi des commandes et des livraisons a entraîné un accès et une extraction non autorisés de données personnelles. Selon nos informations, cet incident est lié à la cyberattaque ayant touché Shipup. Le groupe indique avoir été informé de l’incident le 20 août 2026. Selon le courrier adressé aux personnes concernées, une vulnérabilité affectant un outil d’analyse utilisé par le prestataire aurait été exploitée par un tiers non autorisé. Des requêtes auraient alors été exécutées sur ses bases de données et certaines informations auraient été téléchargées. Les données concernées comprennent les prénoms, noms, adresses e-mail et numéros de téléphone. Printemps indique n’avoir connaissance, à ce jour, d’aucune utilisation frauduleuse de ces informations. Un incident chez un prestataire de Printemps L’incident ne semble pas provenir directement des systèmes de Printemps, mais de l’un de ses prestataires intervenant dans le suivi des commandes et des livraisons. Selon nos informations, le prestataire concerné est Shipup, une plateforme spécialisée dans le suivi post-achat et les notifications de livraison utilisée par de nombreuses enseignes de commerce en ligne. Printemps explique qu’une vulnérabilité affectant un outil d’analyse du prestataire a été exploitée par un tiers non autorisé. L’analyse menée à la suite de l’incident aurait confirmé que des requêtes avaient été exécutées sur les bases de données du prestataire et que certaines données avaient été téléchargées. Quelles données sont concernées ? Dans son courrier, Printemps indique que les informations suivantes sont concernées : • prénom ; • nom ; • adresse e-mail ; • numéro de téléphone. Ces informations peuvent notamment être utilisées pour construire des tentatives de phishing ou de smishing personnalisées. Le nombre exact de clients Printemps concernés n’a pas été communiqué. Le prestataire affirme avoir sécurisé ses accès Printemps indique avoir été informé de l’incident le 20 août 2026. Selon l’enseigne, son prestataire aurait immédiatement : • désactivé les accès vulnérables ; • révoqué les sessions actives ; • renouvelé les clés et identifiants concernés ; • renforcé la supervision et les contrôles d’accès. Printemps indique dans son courrier que l’incident est désormais résolu. Printemps a notifié la CNIL De son côté, Printemps affirme suivre la mise en œuvre des mesures prises par son prestataire et avoir engagé les démarches nécessaires auprès de la Commission nationale de l’informatique et des libertés (CNIL). L'enseigne indique avoir notifié l’incident à la CNIL le 25 août 2026. Des risques de phishing et de smishing Printemps avertit que les données concernées pourraient être utilisées pour envoyer des e-mails, SMS ou appels frauduleux, notamment en usurpant l’identité d’une entreprise ou d’un service connu de la victime. La nature de l’incident peut rendre particulièrement crédibles de faux messages faisant référence à une commande, un colis ou une livraison. Printemps recommande notamment à ses clients de ne jamais communiquer leurs mots de passe, codes de validation ou coordonnées bancaires à la suite d’une sollicitation non vérifiée. Un incident lié à Shipup Selon nos informations, cet incident est lié à la cyberattaque ayant touché Shipup, prestataire spécialisé dans le suivi des colis et les notifications post-achat. D’autres enseignes utilisant Shipup ont également informé leurs clients d’incidents de sécurité liés à leur prestataire. Les éléments disponibles suggèrent ainsi que Printemps fait partie des entreprises dont certaines données clients ont été exposées dans le cadre de cet incident plus large. Ce qui reste à déterminer Plusieurs éléments restent encore inconnus : • le nombre exact de clients Printemps concernés ; • le volume total de données téléchargées ; • la période exacte pendant laquelle les données Printemps ont été accessibles ; • l’identité de l’attaquant ou du groupe responsable ; • l’étendue complète des données Printemps présentes dans l’environnement compromis. Conclusion Printemps confirme qu’un incident de sécurité chez l’un de ses prestataires chargé du suivi des commandes et des livraisons a entraîné un accès et une extraction non autorisés de données personnelles. Selon nos informations, le prestataire concerné est Shipup. Les données exposées comprennent des noms, prénoms, adresses e-mail et numéros de téléphone. Printemps indique avoir été informé de l’incident le 20 août 2026 et avoir effectué une notification auprès de la CNIL le 25 août 2026. Le principal risque pour les personnes concernées reste celui de tentatives de phishing, de smishing ou d’appels frauduleux personnalisés. Le nombre exact de clients Printemps concernés n’a pas été communiqué.
Printemps (Shipup) : cyberattaque et fuite de données — ce que l’on sait, que faire
