Shipup : la faille Metabase touche Printemps, Citadium, Micromania, Aroma-Zone, Easypara et Bati-Avenue, deux autres enseignes étant probablement concernées

Shipup est une plateforme française qui gère, pour plus de sept cents marques de commerce en ligne, les notifications de suivi de colis adressées à leurs clients. Une de ses instances internes de Metabase, outil d’analyse connecté à ses bases, a été compromise entre le 31 juillet et le 17 août 2026 par l’exploitation de la CVE-2026-72898, une injection SQL non authentifiée notée 10,0 sur l’échelle CVSS. Le début de cette fenêtre précède de six jours la publication du correctif, ce qui situe l’intrusion initiale dans la phase de jour zéro plutôt que dans la vague d’exploitation opportuniste ayant suivi la divulgation.

Les données concernées sont limitées et cohérentes avec la fonction du service : nom, prénom, adresse électronique et numéro de téléphone lorsqu’il était renseigné, auxquels Hespéride ajoute une adresse postale dans des cas limités, tandis que Bati-Avenue précise que, pour les commandes passées via Amazon ou ManoMano, les adresses électroniques présentes dans les données étaient masquées et non directement lisibles, de sorte que l’exposition y porte sur le nom, le prénom et le téléphone. Les enseignes affirment de façon concordante qu’aucun mot de passe ni aucune donnée bancaire n’est concerné, et Aroma-Zone ajoute que l’historique de commande et les informations de livraison ne le sont pas non plus, ce qui nuance une description plus large parue dans un article de synthèse. Il ne s’agit pas non plus d’une compromission des systèmes des marques : plusieurs d’entre elles précisent explicitement que leur site, leur système d’information et les comptes clients n’ont pas été touchés.

La propagation est ce qui distingue ce cas. Six enseignes ont notifié ou publié une information à leurs propres clients entre la fin du mois d’août et le début du mois d’octobre : Easypara, documentée dès le 29 août, puis Micromania, Printemps, Citadium et Aroma-Zone dans les premiers jours de septembre, et enfin Bati-Avenue, dont l’information a été relayée le 6 octobre pour les clients ayant commandé via les places de marché Amazon et ManoMano. Chacune a rédigé sa lettre, avec son propre niveau de détail sur l’origine de l’incident, si bien qu’un consommateur client de deux d’entre elles a reçu deux courriers distincts, à des dates différentes, décrivant le même événement. Cette dispersion rend les notifications plus difficiles à distinguer d’une campagne d’hameçonnage, alors même qu’elles sont authentiques.

La chronologie mérite d’être lue d’un bout à l’autre. L’intrusion commence le 31 juillet, Shipup coupe les accès le 17 août, informe Printemps et Citadium le 20, ces deux enseignes notifient la CNIL le 25, et les clients du Printemps reçoivent leur courrier le 4 septembre. Trente-cinq jours séparent le premier accès de l’information des clients du Printemps, sans qu’aucune étape prise isolément ne soit aberrante : le délai total est la somme de délais individuellement défendables, ce qui est la caractéristique propre aux incidents en cascade.

Les trois dernières enseignes à s’être manifestées, depuis la fin du mois de septembre, n’offrent pas le même degré de certitude. Bati-Avenue est le seul rattachement établi : d’après Cyberattaque.org et FrenchBreaches, l’enseigne indique elle-même qu’un incident est survenu chez Shipup, son prestataire chargé du suivi de certaines livraisons, et qu’elle a notifié la CNIL, le périmètre se limitant aux clients ayant commandé via Amazon ou ManoMano. Le courrier de Carrefour indique seulement qu’un de ses prestataires a subi un incident de sécurité, avec les mêmes quatre catégories de données et sans préciser la période, le service concerné ni le nombre de personnes : le lien avec Shipup repose sur l’analyse de Cyberattaque.org et de FrenchBreaches, qui relèvent que Carrefour figure parmi les références publiques de la plateforme, et Carrefour n’a pas confirmé ce rattachement. Le cas d’Hespéride, révélé le 6 octobre, est mieux étayé sans être établi : sa notification décrit un prestataire technique chargé du suivi des livraisons, qui l’a informée le 20 août, le jour où Shipup avait informé Printemps et Citadium, et dont les accès ont été bloqués dès le 17 août, date de fin de la fenêtre d’intrusion de Shipup, après l’exploitation d’une vulnérabilité dans un logiciel d’analyse de données. Ni le prestataire ni le logiciel n’y sont nommés et Cyberattaque.org parle elle-même de recoupement et non de confirmation, d’autant que d’autres prestataires ont été touchés par la même vulnérabilité Metabase, raison pour laquelle ces deux enseignes ne figurent pas parmi les six cas confirmés.

Aucun décompte global n’a été communiqué, ni par Shipup ni par les enseignes, à une exception près : Hespéride indique que 7 700 de ses clients sont concernés, ce qui constitue le seul chiffre connu de toute la cascade, et dont le rattachement à Shipup reste, on l’a vu, un recoupement. Les autres enseignes n’ont pas chiffré, et l’ordre de grandeur indirect demeure fragile : Shipup revendique plus de sept cents marques clientes, dont six ont informé leurs clients et deux autres y sont probablement rattachées, ce qui laisse ouverte la question de savoir si les autres n’étaient pas concernées ou ne l’ont pas encore établi. La seconde vague de révélations, intervenue entre le 26 septembre et le 6 octobre, soit plusieurs semaines après les premières notifications, montre en tout cas que la liste n’est pas close.