King Jouet : un fichier de 195 714 fiches clients diffusé gratuitement, l'enseigne reconnaît un incident lié à un ancien composant applicatif

Le 20 octobre 2026, un pirate se présentant sous le pseudonyme Onyxx a publié gratuitement un fichier tabulaire présenté comme issu de l’environnement informatique de King Jouet, enseigne française de jeux et de jouets présente aussi en Suisse, en Belgique et au Luxembourg. Fuites Infos a signalé la publication le soir même sur la base d’une capture du message du forum, et Cyberattaque.org en a rendu compte le 21 octobre 2026 après avoir obtenu et analysé le fichier complet. Le pirate annonçait 195 715 enregistrements ; Cyberattaque.org en compte 195 714, plus la ligne d’en-tête. Selon les métadonnées contenues dans le fichier, lesquelles n’ont pas pu être vérifiées de façon indépendante, l’extraction aurait été réalisée le jour même, à 18 h 35 UTC.

Ces chiffres décrivent un nombre de fiches et non de personnes : Cyberattaque.org dénombre 195 183 adresses électroniques distinctes (Fuites Infos estime pour sa part à environ 194 000 le nombre de clients distincts), sans pouvoir établir combien de personnes physiques cela représente, et King Jouet ne communique aucun bilan. Les métadonnées affirment que 197 482 lignes brutes avaient d’abord été récupérées, ramenées à 195 714 après fusion de 1 768 doublons, et que l’interface utilisée plafonnait chaque recherche à 50 résultats, de sorte que certaines zones n’auraient été récupérées que partiellement. Si cette description est exacte, le volume accessible au moment de l’incident aurait été supérieur à celui du fichier publié, ce que l’enseigne n’a ni confirmé ni infirmé. Un numéro de téléphone figure dans 177 030 fiches, dont environ 133 283 numéros français, 22 491 suisses, 18 545 belges et 2 231 luxembourgeois d’après les indicatifs, ce qui correspond aux marchés de l’enseigne sans établir le pays de résidence actuel de chaque personne.

Selon l’analyse de Cyberattaque.org, la seule à avoir porté sur le fichier complet, celui-ci contient le nom, l’adresse électronique (dans 195 697 fiches), le numéro de téléphone, la ville et le code postal (dans 190 688 fiches) et un identifiant client interne, sans adresse postale complète, mot de passe, date de naissance, historique détaillé de commandes ni coordonnées bancaires dans les colonnes examinées. Aucune source consultée ne fait état de données d’enfants (prénoms, âges, listes de cadeaux) : le fichier ne contient pas de date de naissance, et rien n’indique si certaines fiches concernent des mineurs. L’association du nom, de l’adresse électronique, du téléphone et de la ville suffit toutefois à fabriquer des messages frauduleux crédibles, d’autant que la période précédant Noël est un temps fort pour une enseigne de jouets : faux colis à reprogrammer, commande bloquée, remboursement ou faux avantage du programme de fidélité King Premium.

King Jouet a répondu à Cyberattaque.org, prévenu de la revendication, que l’incident provenait d’un « ancien composant applicatif historique », désactivé dès son identification, avec des mesures de sécurisation complémentaires. L’enseigne indique que ses investigations, menées avec des experts spécialisés, sont terminées, qu’elles ont confirmé le périmètre et qu’aucune autre exposition de données n’a été relevée sur les services analysés, et annonce une déclaration à la CNIL. Cette confirmation repose sur une déclaration à un observatoire, relayée par Fuites Infos, soit une seule déclaration et non deux sources indépendantes ; aucun communiqué public de l’enseigne ni notification individuelle aux clients n’a été trouvé, et King Jouet ne précise ni le nombre de personnes concernées, ni le composant en cause, ni la façon dont les données ont été atteintes. L’enseigne avait déjà reconnu en février 2025 une cyberattaque sur son interface de suivi des commandes, avec moins de 25 000 clients concernés selon elle (voir la fiche de février 2025) : le périmètre, la période et le composant annoncés diffèrent, et aucune source ne relie les deux événements.

Les clients de l’enseigne sont invités par King Jouet à se montrer vigilants face aux tentatives d’hameçonnage usurpant son identité. En cas de message évoquant une commande, une livraison, un remboursement ou le compte de fidélité, il est préférable de passer directement par le site officiel plutôt que par un lien reçu. Les courriels suspects peuvent être signalés à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée.