O'Tacos : incident chez un prestataire gérant les adresses de livraison, 334 474 lignes revendiquées avec indications d'accès aux immeubles

Le 17 octobre 2026, date de révélation retenue ici (Bonjour la fuite date son entrée du 11 octobre, jour de l’incident), Cyberattaque.org et Clubic, qui relaie une alerte de FrenchBreaches, ont signalé la mise en vente par un pirate se présentant sous le pseudonyme Angel_Batista de 334 474 adresses de livraison de clients d’O’Tacos, proposées pour 300 dollars et couvrant la période du 10 mars 2023 au 11 octobre 2026. Selon Cyberattaque.org, la revendication a été publiée le 16 octobre. O’Tacos a reconnu l’incident dans une notification adressée à ses clients, reproduite par Bonjour la fuite et rapportée par Cyberattaque.org dans sa mise à jour du 28 octobre, sans que les articles du 17 octobre la mentionnent : le 11 octobre 2026, « une personne non autorisée a exploité une faiblesse technique » dans le système du prestataire chargé de la gestion des adresses de livraison et a pu « accéder aux adresses enregistrées dans l’application » pour en obtenir une copie. Cette fiche concerne un incident distinct de la revendication de janvier 2026 sur des comptes de fidélité, décrite dans la fiche O’Tacos : fuite alléguée de données clients, dont elle diffère par la date, le prestataire en cause et le périmètre des données.

Le chiffre de 334 474 provient uniquement du pirate, car O’Tacos ne donne aucun nombre de clients touchés, et il désigne des lignes plutôt que des personnes : Clubic précise qu’un même client peut avoir enregistré plusieurs adresses, et sur les 1 002 lignes de l’échantillon analysé par Cyberattaque.org, seuls 753 numéros de téléphone et environ 787 combinaisons d’adresses sont distincts. Cette analyse, que nous n’avons pas pu recouper, relève aussi que 172 adresses portent la mention « supprimée » tout en restant présentes avec leur rue, leurs coordonnées et, pour 167 d’entre elles, un numéro de téléphone, ce qui suggère, d’après nous, une suppression seulement logique dans la base du prestataire. Des dates de modification allant jusqu’en septembre 2026 figurent dans l’échantillon, ce que Cyberattaque.org juge cohérent avec une extraction du 11 octobre. Le lien entre cette revendication et l’incident notifié par O’Tacos est donc inféré par cette fiche à partir de la concordance de dates et de champs, et aucun communiqué de l’enseigne ne cite le chiffre de 334 474. Ni le nom du prestataire ni la nature de la faille ne sont communiqués, de sorte que l’on ignore si d’autres enseignes utilisent le même système : Bonjour la fuite, que nous avons consulté, ne signale aucune autre notification qui s’y rattache, et aucune source ne permet de tirer de conclusion à ce sujet.

D’après la notification d’O’Tacos, les informations concernées sont l’adresse de livraison enregistrée et sa localisation, le numéro de téléphone associé et les informations ajoutées librement par le client, comme le nom donné à l’adresse ou les indications de livraison. L’échantillon examiné par Cyberattaque.org confirme ces champs et y ajoute des coordonnées GPS, présentes sur les 1 002 lignes, un numéro de téléphone sur 991 d’entre elles et un champ d’indications renseigné dans 412 fiches, où figurent des étages, des numéros d’appartement, des noms d’interphone et, selon cet observatoire, des codes d’entrée. Ces indications créent un risque que ne présente pas un simple fichier de numéros : combinés à une adresse précise, un code d’accès ou un nom d’interphone peuvent faciliter l’entrée dans un immeuble ou permettre de retrouver une personne à son domicile, ce qui ouvre la voie au harcèlement ou à des intrusions ciblées, même si rien dans les sources consultées ne signale un tel usage. Le risque le plus immédiat reste celui de SMS frauduleux crédibles se faisant passer pour O’Tacos ou un livreur, puisque l’attaquant connaît l’adresse et le numéro du destinataire. La gravité est retenue à « élevée », le contenu de ces champs n’ayant été décrit que par Cyberattaque.org.

Pour sa part, O’Tacos indique avoir bloqué l’accès à la fonctionnalité concernée dès l’identification de l’incident et avoir engagé avec son prestataire des mesures pour prévenir toute réitération. Aucune information sur une notification à la CNIL ou une plainte n’a été trouvée dans les sources consultées, et la fin de la capture de la notification étant tronquée, d’éventuelles recommandations de l’enseigne n’ont pas pu être lues. Cyberattaque.org rapporte par ailleurs que le pirate affirme que cette base est sans lien avec une précédente fuite attribuée à O’Tacos et conteste le volume alors annoncé ; cette affirmation ne peut pas être vérifiée.

Les clients qui ont enregistré des adresses dans l’application peuvent modifier, quand cela est possible, les codes d’accès et les consignes laissés pour les livreurs, et se méfier de tout SMS ou appel évoquant une commande ou une livraison qu’ils n’ont pas passée, sans cliquer sur les liens ni rappeler le numéro affiché. Les messages suspects peuvent être signalés à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée.