Bureau Vallée : les données clients étaient aussi chez le prestataire

Le courriel de l'enseigne, transmis à GDN par l'un de ses destinataires, est la source principale de cet article. Il décrit deux incidents. Le premier a permis d'extraire un volume limité de fiches clients depuis le logiciel de gestion. Le second a donné accès aux bases de données, mais aussi aux fichiers hébergés chez le prestataire.

Ni les mots de passe des comptes en ligne ni les données de cartes bancaires ne seraient concernés, selon Bureau Vallée.

Ce que l'on savait depuis août

L'affaire n'est pas nouvelle. Quelques jours avant le 18 août 2026, un acteur se présentant sous le pseudonyme ZeroBytes revendiquait une fuite attribuée à l'enseigne, portant sur près de 56 000 enregistrements.

Le 18 août, le directeur général de Bureau Vallée, Adrien Peyroles, s'exprimait sur BFM Business. Il évoquait environ 22 000 clients concernés (noms, prénoms, adresses électroniques, numéros de téléphone) et un accès coupé après quelques minutes.

Les deux chiffres ne mesurent pas la même chose. Un enregistrement n'est pas une personne, et une même personne peut en occuper plusieurs, comme le rappelle une analyse publiée par Ostraca en août 2026.

Rien ne permet d'affirmer que l'incident d'août correspond exactement au premier des deux décrits dans le courriel. Rien n'établit non plus un attaquant commun.

Les fichiers vivent à côté de la base, avec leurs propres règles

Le second incident ne concernait pas seulement des bases de données. Le prestataire hébergeait aussi les fichiers produits par les logiciels de caisse et de gestion : exports, tickets de caisse, documents de fidélité, échanges entre logiciels.

Un fichier sert à rapprocher deux fiches clients créées dans deux magasins différents. Un autre applique une opération de fidélité. Un troisième porte ce qui s'est passé à la caisse. C'est le fonctionnement ordinaire d'un commerce.

Ces fichiers peuvent contenir les mêmes informations qu'une base bien protégée, sans forcément bénéficier des mêmes règles d'accès ou de conservation. Le courriel ne permet pas de dire que c'était le cas ici. En revanche, les mesures annoncées montrent que la question est désormais examinée : restriction des droits d'accès, réduction des durées de conservation, suppression automatique des fichiers après traitement, surveillance renforcée.

Aucune de ces mesures n'empêche une intrusion. Elles limitent ce qu'elle peut emporter.

Des données ordinaires suffisent à rendre une fraude crédible

Un nom, une entreprise, des coordonnées, parfois des achats ou des avantages de fidélité : un escroc n'a pas besoin de plus pour écrire ceci. « Bonjour, nous avons identifié une anomalie sur votre dernier achat en magasin. Un remboursement doit être effectué. Merci de confirmer vos informations via ce lien. »

Chez un client professionnel, ce message arrive aux achats ou à la comptabilité, et il parle d'un avoir ou d'une régularisation qui n'ont rien d'invraisemblable. Cybermalveillance.gouv.fr a vu les demandes d'assistance de particuliers liées aux violations de données progresser de 107 % en 2025, après 82 % en 2024. Nous avons détaillé ce qui suit une fuite dans une fuite de données peut vous coûter vos clients et vos nuits.

Ce qui était séparé est resté hors d'atteinte

Bureau Vallée précise que les systèmes de caisse et de gestion compromis étaient distincts des environnements de son site marchand. Identifiants, mots de passe et historiques de commandes en ligne ne seraient donc pas concernés. Les informations de cartes bancaires, confiées à des prestataires de paiement spécialisés, ne figuraient pas dans les systèmes touchés.

Cette séparation a limité le périmètre exposé. C'est l'un des plus vieux principes de la sécurité informatique : un système compromis ne doit pas ouvrir automatiquement tous les autres. Il suppose des environnements séparés, des droits strictement nécessaires et des informations sensibles qui circulent le moins possible.

Un contrat de prestation est aussi un document de sécurité

Caisse, ERP, CRM, comptabilité, e-commerce : les données circulent entre des applications exploitées par plusieurs acteurs. Vous pouvez avoir parfaitement sécurisé votre infrastructure et rester exposé par un service externe auquel vous transmettez des données toutes les nuits. Nous l'évoquions à partir des chiffres du Cesin dans vos automatisations IA fonctionnent, mais à quoi ont-elles accès.

La CNIL a publié en avril 2025 un cas pédagogique consacré à la compromission de données chez un sous-traitant, fictif mais inspiré d'un cas réel. Un employé d'une plateforme logistique saisit ses identifiants sur une fausse page d'authentification. L'attaquant accède aux bases de plusieurs entreprises clientes et télécharge des millions de lignes. Faute de journaux analysés, personne ne le voit.

Appliqués à l'affaire Bureau Vallée, quatre points méritent d'être écrits dans le contrat :

• Les droits : un compte nommé par utilisateur, et des téléchargements massifs réservés aux rôles qui en ont besoin.
• Les traces : des accès et des actions journalisés, et des journaux réellement analysés.
• Les accès distants : limités, protégés par VPN et authentification multifacteur.
• La conservation : une durée définie pour chaque type de données, fichiers intermédiaires compris.

Pour le reste, la fiche de la CNIL et le guide de l'ANSSI sur l'externalisation détaillent les mesures et fournissent des clauses types.

Le contrat doit aussi organiser l'alerte. Le RGPD distingue le responsable de traitement (ici, l'enseigne) du sous-traitant (le prestataire). Le sous-traitant doit alerter son client responsable de traitement sans retard injustifié, et la CNIL recommande d'inscrire cette obligation au contrat. Lorsque la violation présente un risque pour les droits et libertés des personnes, le responsable de traitement doit ensuite la notifier à la CNIL dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance.

Ce que l'on ignore encore

Le nombre total de clients touchés par le second incident n'est pas précisé, pas plus que les dates exactes des deux intrusions. L'identité du prestataire, le point d'entrée technique et le lien éventuel entre les deux attaques ne sont pas documentés. On ne peut donc rattacher ces incidents ni à une vulnérabilité, ni à un vol de mot de passe, ni à une configuration défaillante.

L'enseigne indique que les accès compromis ont été bloqués, que des mesures sont prises ou en cours de déploiement et que les investigations se poursuivent.

Trois questions à poser à votre prestataire

Elles ne remplacent pas un audit. Elles suffisent en revanche à ouvrir la discussion au prochain point de suivi. Les questions destinées à vos propres équipes (journaux, cellule de crise, porte-parole) sont dans cyberattaque, les questions à poser à vos équipes avant la crise.

1. Où vivent nos données chez vous ?

Pas seulement la base de production. Les exports, les fichiers d'échange entre applications, les environnements de test, les sauvegardes, et les sous-traitants que vous employez vous-même.

2. Combien de temps vos fichiers intermédiaires survivent-ils ?

Un export utile dix minutes n'a pas vocation à rester lisible six mois. La suppression automatique après traitement fait partie du fonctionnement normal d'une application, dans le respect des obligations légales de conservation.

3. Que se passe-t-il si vous êtes compromis demain ?

Qui nous prévient, en combien de temps, et avec quel niveau de détail ? Quels accès peut-on couper, et depuis chez nous ? Qui décide d'informer nos clients ?

Si votre prestataire a du mal à répondre à l'une de ces questions, vous savez au moins où commencer la discussion.

Auteur · M.Baudoux - Développement logiciel & accompagnement IA