Smartbox : accès non autorisé à une plateforme le 3 novembre 2026, noms et adresses e-mail de clients possiblement consultés

Smartbox a écrit à ses clients qu’elle avait été la cible d’une cyberattaque le 3 novembre 2026 : ce jour-là, ses équipes ont détecté un accès non autorisé à l’une de ses plateformes et ont pris des mesures pour protéger le système et empêcher tout nouvel accès. L’e-mail, rédigé en français et reproduit par Bonjour la fuite, constitue la source primaire de cette fiche ; Cyberattaque.org l’a relayé le 7 novembre en précisant que le site présente le groupe comme fondé en 2003, basé à Dublin avec des bureaux à Paris, et commercialisant aussi les marques Dakotabox et Bongo (information propre à Cyberattaque.org, absente de l’e-mail), sans que Smartbox indique si elles sont concernées.

Selon l’e-mail, l’enquête à ce stade conduit à penser que certaines données personnelles, dont les noms et les adresses e-mail des clients, pourraient avoir été consultées. Smartbox précise que l’attaquant n’a pas eu accès aux coordonnées bancaires ni aux mots de passe des comptes. Le groupe n’indique ni le nombre de clients concernés, ni les pays de résidence des personnes touchées, ni la méthode d’intrusion, et il ne confirme pas qu’une extraction ait eu lieu. La date de révélation retenue est celle de l’article de Cyberattaque.org, la capture de l’e-mail n’étant pas datée ; Bonjour la fuite classe l’entrée au 3 novembre, jour de l’incident, et aucune source ne permet de dire si l’e-mail est parti avant le 7. Cette date pourrait donc être antérieure de quelques jours.

Smartbox est une société irlandaise : l’e-mail indique avoir informé la Commission de protection des données, dont l’e-mail ne précise pas le pays (Smartbox étant établie à Dublin, il peut s’agir de l’autorité irlandaise), ainsi que les forces de l’ordre, et annonce une revue de la sécurité de l’ensemble de ses systèmes avec des protections supplémentaires. Le message en français montre que des clients francophones au moins ont été notifiés, ce qui place l’incident dans le périmètre du registre, sans que le nombre de Français touchés soit connu. Cyberattaque.org rappelle par ailleurs avoir publié le 11 juin 2026 une enquête sur une diffusion de données attribuée à Smartbox, pour laquelle aucune confirmation officielle n’avait été trouvée ; aucune source ne relie les deux événements.

La gravité est retenue à « modérée » parce que les données mentionnées se limitent à des noms et des adresses e-mail, avec une consultation seulement possible, mais elle serait à revoir si Smartbox précisait un volume important ou d’autres catégories de données. Les clients peuvent s’attendre à des messages d’hameçonnage reprenant leur identité : faux e-mails sur un coffret arrivant à expiration, une réservation en échec ou un remboursement, avec un lien vers un faux site Smartbox demandant de se connecter ou de régler un supplément. Il est préférable de passer par l’adresse habituelle du site plutôt que par un lien reçu, de transférer les SMS suspects au 33700, de signaler les e-mails frauduleux à Signal Spam et de consulter cybermalveillance.gouv.fr en cas de fraude avérée ; aucun changement de mot de passe n’est demandé par Smartbox, mais une adresse e-mail réutilisée ailleurs reste une cible pour les tentatives de connexion.