Bouteilles et Bocaux : un malware dans la boutique en ligne

« Nous ne stockons pas les données de paiement. » Cette phrase, dans le message envoyé par Bouteilles et Bocaux à ses clients, vaut plus que tout le reste du communiqué.

La boutique en ligne, spécialisée dans les bouteilles, bocaux et contenants en verre et détenue par la société allemande Flaschenland GmbH, a confirmé le 14 septembre 2026 qu’une personne non autorisée avait accédé à l’environnement de son site et y avait installé un programme malveillant.

Ce que l’entreprise a annoncé

Les investigations menées jusqu’ici indiquent que les attaquants ont pu accéder à un ensemble limité de données personnelles : nom, prénom, adresse postale et adresse électronique.

L’entreprise précise ne pas pouvoir déterminer précisément quels clients sont concernés. Elle indique ne disposer d’aucun élément laissant penser que des données bancaires ou des mots de passe auraient été visés, et rappelle que les données de paiement ne sont pas conservées sur le site.

La boutique a été mise hors ligne, la faille corrigée, et le site reconstruit sur un système nouvellement mis en place avec des experts en sécurité. Il était de nouveau opérationnel le vendredi suivant.

La nature exacte du programme, sa fonction et la durée pendant laquelle il est resté en place ne sont pas précisées. C’est la lacune principale de cette communication.

Pourquoi l’absence de données bancaires n’est pas de la chance

Deux incidents de commerce en ligne ont été rendus publics à un jour d’intervalle cette semaine. Celui-ci, et le web skimming sur la boutique des Presses universitaires de Franche-Comté, où un script a pu intercepter des numéros de carte pendant près de trois ans.

La différence entre les deux ne tient pas au talent des attaquants. Elle tient à l’endroit où le formulaire de paiement est servi.

Quand la boutique héberge elle-même la saisie de la carte, un code injecté sur la page voit passer les seize chiffres. Quand elle redirige vers la page du prestataire bancaire, ou l’intègre dans un cadre isolé servi par ce prestataire, le code injecté ne voit rien : les données ne transitent jamais par le serveur du marchand.

Bouteilles et Bocaux relève du second cas. Un attaquant a bien été présent sur le site, il n’a pas pu récolter de cartes. Ce n’est pas un hasard, c’est une décision d’architecture prise avant l’incident.

Si vous exploitez une boutique en ligne, c’est la seule ligne à retenir de cet article. Le paiement se délègue.

Le risque qui reste, et il n’est pas mince

Nom, adresse postale, adresse électronique, et le fait que la personne a acheté chez ce marchand. C’est peu, et c’est suffisant.

Un message qui vous appelle par votre nom, cite votre adresse de livraison et se présente comme un service client dont vous êtes réellement client franchit toutes les défenses habituelles. Le classique qui suit une fuite de ce type est le faux avis de livraison, avec un « complément d’affranchissement » de quelques euros qui sert à capter la carte que la fuite n’a pas pu fournir.

L’entreprise a raison d’insister sur ce point dans son message. Deux consignes tiennent en une ligne : ne cliquez pas sur les liens des messages non sollicités, et accédez à votre compte par l’adresse officielle du site, saisie à la main.

L’intelligence artificielle ne change rien à la nature de cette escroquerie. Elle en change le coût : rédiger un message crédible par destinataire, dans la bonne langue et sans faute, ne demande plus de travail. L’ANSSI note dans son Panorama de la cybermenace 2025 que ces outils permettent aux attaquants d’améliorer le niveau, la quantité, la diversité et l’efficacité de leurs attaques. Le mécanisme est détaillé dans notre article sur les données fiscales volées à la DGFiP.

Ce que la communication ne dit pas

Trois questions restent ouvertes, et elles comptent pour les clients.

Combien de temps ? Sans durée de présence du programme, un client ne sait pas si sa commande de 2022 est concernée ou seulement celle de septembre.

Combien de personnes ? Le nombre n’est pas communiqué. L’entreprise dit ne pas pouvoir déterminer quels clients sont touchés, ce qui explique une notification large mais ne dispense pas d’un ordre de grandeur.

Quelle autorité ? Bouteilles et Bocaux appartient à une société allemande. L’article 56 du RGPD désigne comme autorité chef de file celle de l’établissement principal du responsable de traitement dans l’Union. Pour un client français, cela signifie que la procédure peut relever d’une autorité allemande, avec la CNIL comme autorité concernée au titre de l’article 60. Ce n’est pas un détail administratif : c’est ce qui détermine à qui l’on écrit si l’information reçue paraît insuffisante.

Une réclamation reste possible auprès de la CNIL au titre de l’article 77 du RGPD, quelle que soit l’autorité qui instruira ensuite.

Pour les marchands qui lisent ceci

Trois vérifications, aujourd’hui :

• Votre page de paiement sert-elle le formulaire de carte, ou le délègue-t-elle ? Si vous ne connaissez pas la réponse, votre prestataire la connaît.
• Qui a le droit d’installer un module sur votre boutique ? La plupart des compromissions de sites marchands passent par une extension obsolète ou par un compte d’administration réutilisé ailleurs. Nous avons décrit ce schéma d’accès initial dans l’attaquant se connecte, il n’entre pas.
• Avez-vous un message de notification déjà rédigé ? Le rédiger sous pression, en trois heures, produit exactement les trous que nous venons de relever.

Préparer ce message avant d’en avoir besoin, c’est l’objet de notre journée Réagir face à une cyberattaque : organisation et gestion de crise ; nos autres parcours figurent sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

La bonne nouvelle de ce dossier tient en une phrase : une entreprise qui ne détient pas une donnée ne peut pas la perdre.

Sources

• Bouteilles et Bocaux, message d’information aux clients, confirmé le 14 septembre 2026, repris par Fuites Infos et Cyberattaque.org : accès non autorisé, programme malveillant, catégories de données, absence d’indice sur les données bancaires et les mots de passe, mise hors ligne et reconstruction du site.
• Fuites Infos, « Bouteilles et bocaux : fuite de données après un incident de sécurité », 14 septembre 2026 : activité (bouteilles, bocaux et contenants), rattachement à Flaschenland GmbH, statut « Confirmée par l’entreprise », remise en ligne sur un nouveau système.
• Cyberattaque.org, « Bouteilles et bocaux : une cyberattaque compromet la boutique en ligne et expose des données clients », 14 septembre 2026 : absence de précision sur la nature et la durée de présence du programme.
• FrenchBreaches, alerte « Bouteilles et Bocaux », statut « Confirmée », 15 septembre 2026.
• RGPD (règlement (UE) 2016/679), articles 56, 60 et 77.
• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
• Aucun site de revendication ni aucune donnée volée n’a été consulté pour cet article.