Fiche · Retail / e-commerce
Aqua Store : base clients extraite les 29 et 30 septembre 2026, notification adressée aux clients de la boutique d'aquariophilie et de bassin
Aqua Store informe ses clients qu'une attaque ciblée des 29 et 30 septembre 2026 a permis d'extraire sa base clients (identité, coordonnées, commandes), sans donnée bancaire.
- Révélée
- Révision
- Originale
- Sources
- 2
- Volume
- Non chiffré
- Données
- 3 catégories
- Pays
- France
- Organisation
- Aqua Store (aqua-store.fr, matériel pour aquarium et bassin)
- Chronologie
- Les 29 et 30 septembre 2026, selon la notification de l'enseigne, un acteur malveillant accède à la base de données clients du site aqua-store.fr et l'extrait. Bonjour la fuite a inscrit cette notification deux fois : une première entrée rattachée au 29 septembre 2026, illustrée d'une capture prise le 8 octobre 2026, puis une seconde le 5 novembre 2026 avec le même message. La date d'envoi n'est pas lisible sur la capture, et la date de révélation retenue, le 8 octobre 2026, est celle de la plus ancienne capture connue du message
- Ampleur
- Aucun nombre de personnes ou de comptes n'est communiqué par l'enseigne
- Vecteur
- Attaque ciblée contre le site, ayant permis d'accéder à la base de données clients et de l'extraire, selon la notification ; la faille exploitée n'est pas précisée
- Données exposées
-
- Nom, prénom, adresse électronique, adresse postale, date de naissance et numéro de téléphone le cas échéant
- Informations relatives au compte client et historique des commandes
- Données associées aux adresses enregistrées dans l'espace client
- Aucune donnée bancaire, l'enseigne indiquant ne pas en stocker sur son site
Sources · 2
Aqua Store, boutique en ligne de matériel pour aquarium et bassin (aqua-store.fr), a adressé à ses clients un courriel les informant d’un incident de sécurité. D’après la capture de ce message publiée par Bonjour la fuite, qui constitue la source primaire de cette fiche, une attaque ciblée a été menée contre le site les 29 et 30 septembre 2026 et un acteur malveillant est parvenu à accéder aux données de la base clients et à les extraire. L’enseigne se réfère au RGPD et aux recommandations de la CNIL. Bonjour la fuite recense l’incident à deux reprises (entrées du 29 septembre et du 5 novembre), toutes deux fondées sur ce même message.
Les données susceptibles d’avoir été consultées ou extraites sont, selon la notification, le nom, le prénom, l’adresse électronique, l’adresse postale, la date de naissance et le numéro de téléphone le cas échéant, les informations du compte client et l’historique des commandes, ainsi que les données associées aux adresses enregistrées dans l’espace client. Les données bancaires ne sont pas stockées sur le site, et n’ont donc pas pu être compromises selon l’enseigne. La gravité est retenue à « élevée » : l’association de l’identité, de la date de naissance et de l’historique d’achats permet de construire des messages de fraude très crédibles, sans donnée sensible au sens du RGPD.
Cette fiche repose sur la seule notification : aucun média ni autre source indépendante n’a été retrouvé, et la partie basse de la capture (mesures prises, notification à la CNIL, conseils) n’est pas visible. Le nombre de clients concernés, la méthode d’intrusion, l’éventuelle revendication par un pirate et la date d’envoi du message ne sont pas connus.
Les clients peuvent s’attendre à des courriels, SMS ou appels de fraude citant leur véritable commande ou leur date de naissance, et ne cliquer sur aucun lien sans vérifier l’expéditeur en saisissant eux-mêmes l’adresse du site. Si le mot de passe du compte a été réutilisé ailleurs, il convient de le changer partout. Les courriels suspects se signalent à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance gratuite.