Boulanger : 132 000 dossiers de SAV revendiqués

Un dossier de service après-vente en sait plus long sur vous qu’un fichier client. Il dit quel appareil vous avez acheté, quand, à quel prix, dans quel magasin, et pourquoi il est tombé en panne.

Le 11 septembre 2026, un compte signant « fuie » a mis en ligne sur un forum cybercriminel une base de 132 230 enregistrements de ce genre, présentée comme venant de Boulanger.com. Nous ne consultons ni ces forums ni les fichiers diffusés : ce qui suit repose sur la description qu’en donnent trois traqueurs de fuites.

Revendiqué, pas confirmé

À l’heure où nous écrivons, ni Boulanger, ni la centrale Ex&Co, ni les magasins concernés ne se sont exprimés publiquement, selon Fuites Infos et cyberattaque.org. Nous n’avons trouvé aucun communiqué, aucun courriel aux clients rendu public, aucun article de presse. FrenchBreaches classe l’alerte « revendiquée (crédible) » après avoir analysé 132 229 lignes, dont 122 491 portant un numéro de série. Fuites Infos, plus prudent, retient « revendiquée (non vérifiée) ».

Le détail qui compte est ailleurs. Les trois traqueurs décrivent des dossiers ouverts dans une cinquantaine de magasins des enseignes Expert et Connexion, commerçants indépendants regroupés dans la centrale Ex&Co, où Boulanger est entré au capital en 2018. L’étiquette « Boulanger.com » posée par le pirate n’est donc pas nécessairement l’origine du fichier, et la nuance décide de qui doit notifier la CNIL et écrire aux clients.

Nous n’affirmons pas que Boulanger a été piraté. Nous constatons qu’un fichier circule sous son nom et que personne n’a dit d’où il vient.

132 000 dossiers ne font pas 132 000 personnes

Fuites Infos dénombre 61 275 clients distincts dans ces 132 230 lignes. L’écart n’a rien de mystérieux : un client qui fait réparer un lave-linge, puis un téléviseur, puis le même lave-linge trois ans plus tard, ouvre trois dossiers. Une ligne compte un passage au comptoir, pas un individu. Et les deux chiffres sortent du fichier, pas d’un décompte de l’entreprise.

Selon ces descriptions, chaque dossier associe l’identité et les coordonnées du client (adresse postale, téléphones, courriel dans environ un quart des cas) à l’appareil : marque, modèle, numéro de série, date et prix d’achat, motif de la panne, type de garantie. Ni mot de passe, ni donnée bancaire. Les interventions vont de 2010 au 10 septembre 2026.

Nouveau fichier ou vieille fuite remise en circulation ?

La question se pose, parce que l’enseigne a déjà connu cela. En septembre 2024, Boulanger a reconnu un acte de cybermalveillance touchant des données de livraison de « quelques centaines de milliers de clients ». Un vendeur annonçait alors 27 à 28 millions d’enregistrements ; quand ce fichier est reparu gratuitement en avril 2025, Zataz y a relevé un peu plus d’un million de lignes uniques. L’écart entre volume revendiqué et volume réel est la règle, comme nous l’avons détaillé dans ce qu’une alerte de fuite ne dit pas.

Le fichier de septembre 2026 est d’une autre nature. Dossiers d’atelier, numéros de série, motifs de panne : pas des bordereaux de livraison. Et l’enregistrement le plus récent date du 10 septembre 2026, ce qu’une base volée en 2024 ne peut pas contenir. Donc un incident distinct, selon toute vraisemblance. Le vecteur d’accès reste inconnu.

Ce que ces données permettent d’écrire

Un fichier de clients sert à envoyer un message. Un fichier de SAV sert à en écrire un que la victime attend.

« Votre réparation est bloquée, il reste 3,90 € de frais de port à régler. » Le message cite la bonne machine, le bon numéro de série, la bonne date d’achat, le bon magasin. Variante au téléphone : un faux technicien propose de prolonger une garantie qui arrive à échéance, et il connaît la panne.

L’IA ne crée pas cette arnaque. Elle en supprime le coût. Rédiger 61 000 messages différents, chacun citant l’appareil exact de son destinataire, demandait des semaines. Un modèle de langage alimenté par un fichier structuré le fait en quelques minutes, sans faute et dans le ton du commerce, comme nous l’avons décrit à propos des données fiscales volées à la DGFiP.

Si vous avez fait réparer un appareil chez Expert ou Connexion

• Aucun paiement depuis un lien reçu. Si une réparation est en cours, appelez le magasin au numéro du ticket de caisse.
• Un SAV ne demande pas de numéro de carte au téléphone, ni de code reçu par SMS. Raccrochez, rappelez vous-même.
• Un SMS douteux se transfère au 33700, puis se supprime. Si vous avez payé, faites opposition auprès de votre banque sans attendre et déposez plainte ; l’assistant public 17Cyber oriente sur la suite.

Pour un commerçant : combien de temps garde-t-on un dossier SAV ?

Des dossiers de 2010 encore lisibles en 2026 : seize ans d’exposition pour un lave-vaisselle parti à la casse depuis longtemps. Le RGPD ne fixe pas de durée, il impose de la déterminer : données limitées au nécessaire (article 5.1.c), conservation bornée par la finalité (article 5.1.e). La CNIL décrit trois temps, dont un archivage intermédiaire qui suppose une séparation et un accès réservé à des personnes habilitées.

La garantie légale de conformité court deux ans (Code de la consommation, article L. 217-3) et les pièces comptables se conservent dix ans (Code de commerce, article L. 123-22). Aucun de ces délais ne justifie de laisser le motif de la panne, l’adresse et le téléphone dans la base que consulte n’importe quel poste du magasin, quinze ans après.

Si une violation est établie : notification à la CNIL dans les 72 heures lorsqu’un risque existe (article 33), information des personnes si le risque est élevé (article 34), inscription au registre interne même sans notification (article 33.5). Erreur fréquente dans les réseaux indépendants : chaque commerçant répond de ses propres dossiers, et attendre la tête de réseau ne suspend aucun délai. Si l’outil est partagé, les rôles s’écrivent avant l’incident (articles 26 et 28).

C’est le schéma du prestataire, maillon faible. Reconnaître un faux SAV avant de payer est l’objet de notre formation Cybersécurité pour tous, et nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Une question pour les commerçants qui nous lisent : si un client appelait demain pour savoir si son dossier de 2012 figure encore dans votre logiciel, sauriez-vous répondre ?

Sources

• FrenchBreaches, alerte « Boulanger : 132 000 dossiers clients liés au SAV », et Cyberattaque.org, « 132 000 dossiers SAV revendiqués en fuite », 11 septembre 2026.
• Fuites Infos, « 61 275 clients des magasins partenaires Boulanger », 11 septembre 2026.
• Le Monde Informatique, 9 septembre 2024, et Clubic, 10 septembre 2024, sur l’incident de septembre 2024.
• Zataz, « Le retour inattendu d’un leak », 23 avril 2025. L’Officiel de la Franchise, « Boulanger s’associe à la centrale Ex&Co », 25 juin 2018.
• CNIL, « Les durées de conservation des données », mise à jour du 2 avril 2026 ; RGPD, articles 5, 26, 28, 33 et 34 ; Code de la consommation, article L. 217-3 ; Code de commerce, article L. 123-22.
• Cybermalveillance.gouv.fr (assistant 17Cyber, signalement au 33700) et SignalConso (DGCCRF), page sur la réparation d’électroménager, consultés le 12 septembre 2026.