Burda Style : cyberattaque de la mi-octobre 2026, coordonnées et historique de commandes de clients possiblement exposés

Burda Style a écrit à ses clients qu’elle avait été la cible d’une cyberattaque à la mi-octobre 2026 : l’accès a été coupé dès sa détection et les équipes, accompagnées d’experts, ont immédiatement renforcé la sécurité des sites. L’e-mail, intitulé « Information sur un incident de sécurité concernant vos données » et reproduit par Bonjour la fuite, est la source primaire de cette fiche ; Cyberattaque.org l’a relayé le 7 novembre. La capture ne montre que le début du message, qui ne nomme pas la société émettrice ; d’après ses mentions légales, la boutique burdastyle.fr est éditée par Éditions DIPA Burda, société par actions simplifiée établie à Schiltigheim (Bas-Rhin), sans que l’e-mail précise si d’autres sites de la marque sont concernés.

Selon la notification, les analyses des experts n’ont mis en évidence aucune preuve d’extraction de données à ce jour, sans que Burda Style puisse l’exclure totalement. Les informations pouvant être concernées sont celles que les clients ont transmises à la création d’un compte ou d’une commande : nom, adresse e-mail, adresse postale, téléphone et historique de commandes, auxquels s’ajoutent, pour certains paiements par carte, les quatre derniers chiffres de la carte, qui ne permettent pas de payer, et, le cas échéant, les documents envoyés par le formulaire de contact. Les mots de passe ne sont pas stockés en clair, et une réinitialisation est demandée à la prochaine connexion. Le nombre de clients, la méthode d’intrusion et l’auteur ne sont pas communiqués.

La gravité est retenue à « modérée » : les données citées (coordonnées complètes, historique de commandes, documents éventuels du formulaire de contact) sont sensibles, mais Burda Style n’a trouvé aucune preuve d’extraction et la consultation n’est que possible ; elle serait à relever si une extraction était établie ou si le périmètre réel s’avérait large. Burda Style indique elle-même que le risque principal est l’hameçonnage, avec des messages imitant une marque ou un service connu pour obtenir des coordonnées bancaires ou des mots de passe.

Les clients peuvent appliquer les quatre réflexes de l’e-mail : vérifier l’adresse ou le numéro réel de l’expéditeur, rappeler le service concerné à son numéro officiel, ne rien communiquer lors d’un appel, d’un SMS ou d’un e-mail non sollicité, et saisir soi-même l’adresse du site plutôt que suivre un lien. Il faut changer aussi le mot de passe s’il est utilisé sur d’autres sites, transférer les SMS suspects au 33700 et signaler les e-mails frauduleux à Signal Spam. Une personne ayant joint un document sensible (pièce d’identité, justificatif) par le formulaire de contact peut surveiller l’usage de ce document, et cybermalveillance.gouv.fr guide les démarches en cas d’usurpation.