Sushi & Cie à Houdan : un pirate publie les comptes clients

Ce lundi 14 septembre, la page d’accueil de sushietcie.fr ne s’appelle plus Sushi & Cie. Son titre, sa description pour les moteurs de recherche et le texte alternatif de son logo affichent le même mot : « 4Me1 ». C’est le pseudonyme de celui qui, la veille, a revendiqué le vol des comptes clients de ce restaurant japonais de Houdan, dans les Yvelines.

Ce qui est revendiqué

Le 13 septembre 2026, un acteur signant 4me1 a publié sur un forum cybercriminel une base présentée comme celle des clients du restaurant, en téléchargement libre. Fuites Infos (17 h 10) et cyberattaque.org (17 h 15) l’ont relayée le jour même, ainsi que FrenchBreaches, qui classe l’affaire « Revendiquée (crédible) ». Nous n’avons consulté ni le forum ni les fichiers.

Selon ces relais, la base contient noms et prénoms, adresses électroniques, numéros de téléphone, adresses IP, identifiants internes et dates de création de compte. Fuites Infos situe les inscriptions entre 2017 et la veille de la publication. D’après la revendication, aucun mot de passe ni aucune donnée bancaire n’y figure.

Le volume, lui, flotte. Le pirate parle d’environ 6 000 utilisateurs, Fuites Infos en compte 6 248. Pour les lignes, FrenchBreaches écrit 7 486 et cyberattaque.org 74 867 : un chiffre a été mal recopié quelque part.

Ce que personne n’a confirmé

Sushi & Cie n’a fait aucune déclaration publique à notre connaissance. Aucune notification à la CNIL n’est connue, ce qui ne prouve rien, puisque ces notifications ne sont pas publiées. Ni Zataz, ni la presse régionale, ni la CNIL n’ont traité le sujet au 14 septembre. La méthode d’accès reste inconnue. C’est la limite ordinaire d’une alerte de fuite.

Nous avons vérifié un point nous-mêmes. Le 14 septembre à 14 h 20, heure de Paris, le code de la page d’accueil porte « 4Me1 » à la place du nom du restaurant, à plusieurs endroits ; Fuites Infos avait relevé cette signature dès le 13. Modifier le titre d’un site demande en principe un accès à son administration.

Cela ne prouve pas que le fichier publié est authentique ni complet. Mais le lien entre la revendication et cet établissement ne repose plus sur la seule parole du pirate.

Pourquoi un petit fichier suffit

Six mille clients, c’est peu à l’échelle des fuites que nous suivons. Mais le fichier d’un restaurant de bourg vise un territoire précis : des gens qui habitent autour de Houdan, connaissent l’enseigne et trouveraient normal qu’elle leur écrive.

« Votre compte fidélité expire », « un bon d’achat pour excuser l’incident » : avec un prénom, un numéro et le vrai nom du restaurant, un modèle de langage rédige en quelques minutes des milliers de variantes sans faute, chacune adressée à la bonne personne. Nous avons décrit ce mécanisme à propos des données fiscales volées à la DGFiP. L’adresse IP, seule, sert peu.

Si vous avez un compte chez Sushi & Cie

• Tant que la page d’accueil porte cette signature, n’y saisissez rien.
• Méfiez-vous des SMS et courriels au nom du restaurant contenant un lien, surtout s’ils parlent de remboursement, de bon d’achat ou de l’incident. Pour joindre l’établissement, utilisez un numéro que vous connaissiez déjà.
• Un SMS douteux se transfère au 33700, le service de signalement recommandé par Cybermalveillance.gouv.fr.
• Si le mot de passe de ce compte sert ailleurs, changez-le ailleurs : l’absence de mot de passe dans le fichier n’est qu’une affirmation du pirate.
• Vous ne commandez plus ? Demandez la suppression de votre compte (RGPD, art. 17).

Ce qu’un restaurateur qui vend en ligne doit vérifier

Un site de commande avec comptes clients, conçu par une agence il y a des années et qui tourne sans qu’on y pense : beaucoup de commerces de bouche en ont un. Juridiquement, le restaurant est responsable du traitement des données ; l’agence ou l’hébergeur qui le maintient agit en principe comme sous-traitant.

Quatre questions à poser avant l’incident.

1. Qui héberge et met à jour le site ? Le contrat doit encadrer la sécurité et obliger le prestataire à vous prévenir d’une violation (RGPD, art. 28 et art. 33, § 2). Sans contrat écrit, vous ne savez pas qui appeler.
2. Le logiciel reçoit-il encore ses correctifs ? La sécurité doit rester adaptée au risque (art. 32). Un site laissé des années sans mise à jour ne l’est plus.
3. Pourquoi garder le compte d’un client parti depuis longtemps ? Les données ne se conservent que le temps nécessaire (art. 5, § 1, e).
4. Qui fait quoi le jour où ça arrive ? Notification à la CNIL dans les meilleurs délais, si possible sous 72 heures, sauf risque improbable (art. 33) ; information des clients si le risque est élevé (art. 34) ; inscription au registre interne dans tous les cas (art. 33, § 5).

Reconnaître un faux message avant qu’il ne coûte est le cœur de notre formation Cybersécurité pour tous, et nos autres parcours sont présentés sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Le premier SMS que recevront ces clients au nom de Sushi & Cie ne viendra peut-être pas du restaurant. Pour lui, tout l’enjeu est que le vrai message arrive avant.

Sources

• Fuites Infos, « 6 248 clients de Sushi et Cie : fuite de données revendiquée », 13 septembre 2026, 17 h 10, mis à jour à 18 h 18.
• Cyberattaque.org, Thomas Lazzaroni, « Sushi&Cie victime d’une cyberattaque plus de 6 000 clients en fuite », 13 septembre 2026, 17 h 15.
• FrenchBreaches, fiche « Sushi&Cie », alerte du 13 septembre 2026, statut « Revendiquée (crédible) », consultée le 14 septembre 2026.
• sushietcie.fr, code de la page d’accueil consulté le 14 septembre 2026 à 14 h 20, signature revérifiée avant publication.
• Cybermalveillance.gouv.fr, « Que faire en cas de phishing ou hameçonnage ? », 7 mai 2026.
• Règlement (UE) 2016/679 (RGPD), articles 5, 17, 28, 32, 33 et 34.
• Aucune couverture trouvée chez Zataz, dans la presse régionale ni à la CNIL au 14 septembre 2026.