Une nouvelle alerte à la cybersécurité a été déclenchée en France. Un pirate informatique a affirmé avoir mis la main sur une base de données massive concernant 860 000 colis gérés par Chronopost. La faille proviendrait non pas directement des systèmes centraux du transporteur, mais de son réseau de points relais Pickup, une filiale stratégique du groupe La Poste, largement utilisée pour le dépôt et le retrait de paquets.
Quelle est l'origine et l'ampleur de cette nouvelle fuite ?
Le cybercriminel, qui se vante d'avoir lui-même collecté les informations, a publié son butin sur le tristement célèbre forum BreachForums. Il explique avoir utilisé la méthode du scraping, qui consiste à extraire automatiquement des données publiques ou semi-publiques d'un site web à l'aide de scripts spécialisés. La base de données, un fichier de 680 Mo, contiendrait des informations particulièrement sensibles.
La liste des données compromises est longue et précise : noms, prénoms, adresses e-mail, numéros de suivi des colis, mais aussi des détails plus techniques comme les dimensions des paquets, les codes-barres et la localisation exacte des points de retrait. Selon les experts qui ont pu analyser un échantillon, ces informations semblent parfaitement authentiques et exploitables.
Comment Chronopost a-t-il réagi et que sait-on du périmètre exact ?
Face à la publication de cette fuite de données, Chronopost a finalement confirmé l'incident, tout en le rattachant à une faille survenue au printemps 2025. L'entreprise assure que le problème avait été « activement traité » à l'époque, conformément à la réglementation en vigueur. Cependant, la publication récente et massive des données change radicalement la donne pour les clients concernés.
L'expert en cybersécurité Christophe Boutry précise que les données portent sur des colis déposés dans des points relais ou des consignes Pickup entre le 25 février et le 10 avril 2025. Il ne s'agit donc pas de livraisons actuellement en transit. Fait important, puisque le réseau Pickup est mutualisé, des informations sur des colis Colissimo seraient également présentes dans le fichier, élargissant le cercle des victimes potentielles.
Quels sont les risques pour les clients concernés et comment se protéger ?
Le principal danger pour les 860 000 personnes concernées est le risque d'arnaques par phishing (hameçonnage par e-mail) ou smishing (hameçonnage par SMS). Les pirates pourraient utiliser les informations très précises sur d'anciens colis pour créer des messages frauduleux extrêmement crédibles, invitant les victimes à cliquer sur des liens malveillants ou à fournir des informations bancaires.
Il est donc crucial pour toute personne ayant utilisé un point relais Pickup durant la période de février à avril 2025 de redoubler de vigilance. Il est recommandé de se méfier de toute communication inattendue se réclamant d'un transporteur, même si elle contient des informations qui semblent réelles. Ce n'est pas la première fois que Chronopost est visé : une précédente faille en février avait déjà touché plus de 200 000 clients.