Quick : accès non autorisé au programme de fidélité Qlub Quick, identité et coordonnées de membres exposées

Le vendredi 9 octobre 2026, Quick, chaîne française de restauration rapide, a adressé aux membres de son programme de fidélité Qlub Quick un courriel les informant qu’un accès non autorisé avait été détecté sur ce programme, que l’enseigne utilise dans son application comme dans ses restaurants. Selon les comptes rendus de ce message, le programme a été suspendu à titre de précaution puis remis en service une fois de nouvelles mesures de sécurité en place, et les points des achats effectués entre le 5 octobre et le 9 octobre à 11 h peuvent être recrédités par le service client. Cette fenêtre laisse supposer une perturbation du programme dès le 5 octobre, mais il s’agit d’une déduction : aucune source consultée ne date l’intrusion ni la suspension. L’information a été diffusée le jour même par Cyberattaque.org (qui indique s’être procuré une copie du courriel), par Fuites Infos (qui publie une capture filigranée du message et classe l’incident comme confirmé par l’entreprise), par FrenchBreaches (à qui le courriel a été transmis) et par Bonjour la fuite. Les reprises du lendemain dans la presse (Clubic, Rotek) s’appuient sur FrenchBreaches et Fuites Infos sans apporter d’élément indépendant et abrègent la liste des données, ce qui explique qu’elles ne soient pas citées parmi les sources.

Aucun nombre de membres concernés n’est communiqué, ce qui explique qu’aucun chiffre ne soit retenu dans cette fiche : Quick dit simplement que ses investigations se poursuivent et qu’elle communiquera de nouvelles informations, FrenchBreaches précisant que ce sera conformément à ses obligations réglementaires, sans nommer la CNIL. Aucun groupe n’a revendiqué l’attaque dans les sources consultées, aucune mise en vente ni demande de rançon n’a été relevée, et aucune source ne nomme de prestataire de fidélité ou d’hébergement, de sorte qu’aucun rattachement à un incident déjà référencé (par exemple YouFid, qui concerne une solution de carte de fidélité dématérialisée) n’est établi. Il faut aussi noter que toutes les sources reposent sur le même courriel de notification : trois d’entre elles (Cyberattaque.org, Fuites Infos, FrenchBreaches) disent en détenir un exemplaire ou une capture, mais aucune n’en reproduit le texte en clair, de sorte que son authenticité repose sur la concordance de ces comptes rendus, et le terme employé pour qualifier l’événement (accès non autorisé, intrusion, fuite) varie selon les relais. Le statut « confirmée » retenu ici tient à cette notification adressée par Quick à ses membres, et non à un avis public : la page d’accueil de quick.fr ne comportait, lors de la consultation du 14 octobre 2026, aucun avis sur l’incident.

Les données exposées comprennent le nom et le prénom, l’adresse électronique, le numéro de téléphone, la date de naissance, le numéro de carte de fidélité et le solde de points, la date de naissance étant citée par Cyberattaque.org, Fuites Infos, FrenchBreaches et Bonjour la fuite. L’adresse postale n’apparaît, elle, que dans l’entrée de Bonjour la fuite, dont le lien de source renvoie à une image que nous n’avons pas pu examiner, et les trois autres comptes rendus qui disent détenir le courriel ne la mentionnent pas : elle est donc signalée ici comme non établie. Quick indique que les données bancaires ne sont pas concernées (Fuites Infos ajoute que l’enseigne n’en collecte pas auprès de ses clients), et selon Cyberattaque.org la notification ne fait pas état d’une compromission de mots de passe. Ce jeu de données permet surtout un hameçonnage ciblé, puisqu’un faux message peut citer le bon nom, le bon numéro de carte et le bon solde pour annoncer des points qui expirent, une carte à réactiver ou un remboursement. Quant aux points de fidélité eux-mêmes, aucune source ne précise si un numéro de carte et un solde suffisent à les utiliser ni ne rapporte de points dérobés, et le recrédit proposé par Quick porte sur les points des achats effectués du 5 au 9 octobre, sans lien établi avec un vol.

Du côté de l’enseigne, la réponse documentée tient en quatre éléments : la suspension préventive du programme, sa remise en service après renforcement de la sécurité, la possibilité de recréditer les points des achats de la période et un appel à la vigilance face aux courriels, SMS et appels suspects se présentant comme émanant de Quick, Cyberattaque.org ajoutant que l’enseigne rappelle qu’elle ne demandera jamais d’identifiants ni de codes bancaires. Les sources consultées ne disent pas si l’incident a été notifié à la CNIL, ni selon quel calendrier, et aucun communiqué distinct de l’enseigne n’a été trouvé.

Pour les membres de Qlub Quick, la précaution principale consiste à ne pas cliquer sur les liens reçus par courriel ou par SMS et à accéder à son compte en saisissant soi-même l’adresse du site ou en passant par l’application. Il est prudent de ne jamais communiquer de code reçu par SMS, de mot de passe ou de coordonnées bancaires en réponse à une sollicitation, de changer le mot de passe du compte s’il est utilisé ailleurs même si la notification n’en fait pas état, et de surveiller le solde de points dans les semaines qui viennent. Les messages suspects peuvent être signalés à Signal Spam pour les courriels et au 33700 pour les SMS et les appels, et cybermalveillance.gouv.fr propose une assistance aux personnes qui craignent une usurpation ou une escroquerie.