WiziShop et Dropizi : les factures des boutiques publiées

Le 17 août 2026, WiziShop corrigeait une faille. Le 11 septembre, les factures qu’elle avait laissé sortir se retrouvaient en ligne.

La nature des données n’a pas changé entre ces deux dates. Le nombre de gens qui peuvent s’en servir, si : publié sur un forum criminel, le fichier devient une matière première pour quiconque veut écrire aux marchands concernés.

Ce que WiziShop a confirmé en août

Le groupe WiziShop, fondé en 2008, édite une solution de boutique en ligne du même nom, ainsi que Dropizi, lancé en 2018 pour le dropshipping, et Evolup, consacré aux boutiques d’affiliation.

Selon la notification adressée par l’entreprise aux personnes concernées, relatée le 19 août par FrenchBreaches et Fuites Infos, un tiers malveillant a exploité une vulnérabilité pour télécharger un volume important de factures des trois services, émises depuis 2009. WiziShop dit avoir été alertée le 17 août et avoir corrigé la faille le jour même. FrenchBreaches affirme être à l’origine du signalement.

Les factures contiennent la dénomination du client, son adresse postale, son numéro de client, les références et dates de facturation, les montants. D’après WiziShop, ne sont pas concernés : les données des acheteurs des boutiques, les coordonnées bancaires, les identifiants et mots de passe, les catalogues, les commandes. L’entreprise indique avoir notifié la CNIL.

Ce détail inverse le schéma habituel. Quand une plateforme de commerce en ligne fuit, ce sont d’ordinaire les clients des boutiques qui sont exposés. Ici, ce sont les marchands eux-mêmes, en tant que clients de WiziShop, actuels comme anciens.

Ce qui s’est passé le 11 septembre

Un compte signant ChimeraZ a publié ce jour-là, sur un forum cybercriminel, une base qu’il attribue à WiziShop et Dropizi : 511 661 lignes au format JSON, environ 127 Mo, rattachées selon lui à 21 402 boutiques. FrenchBreaches, qui a décrit la publication sans en reproduire le contenu, la classe « revendiquée (crédible) » : les champs relevés (numéro de facture, dénomination, adresse, ville, pays, numéro de client, date de facturation) recoupent le périmètre annoncé par WiziShop en août. Le pirate affirme lui-même que les clients finaux des boutiques n’y figurent pas.

Crédible ne veut pas dire confirmé. WiziShop n’a pas validé publiquement ces volumes, et nous n’avons trouvé aucune déclaration de l’entreprise postérieure à la publication. Fuites Infos, qui a mis à jour son article le même jour, estime à environ 26 500 le nombre de comptes marchands concernés. L’écart avec les 21 402 boutiques avancées par le pirate n’est expliqué nulle part, et nous ne le tranchons pas.

Le même pseudonyme avait publié six bases françaises et belges le 3 septembre, une série que nous avons décrite.

511 661 lignes, combien de personnes ?

Beaucoup moins. D’après la description de FrenchBreaches, chaque ligne porte un numéro de facture : une ligne, c’est une facture, pas un individu. Une boutique abonnée en reçoit une à chaque échéance, et le fichier remonte à 2009. Si les deux chiffres du pirate sont exacts, cela donne en moyenne un peu moins de 24 factures par boutique.

Seconde nuance : toutes ces lignes ne contiennent pas des données personnelles au sens du RGPD. La dénomination d’une société n’en est pas une. Celle d’un entrepreneur individuel qui facture sous son propre nom en est une, et son adresse de facturation peut être celle de son domicile. Le chiffre de 511 661 mesure la taille du fichier, pas le nombre de personnes touchées ni ce que chacune risque.

Pourquoi une facture vaut plus qu’un annuaire

Un annuaire fournit un nom et une adresse. Une facture fournit ce qui rend un message crédible : le numéro de client, une référence exacte, la date d’une échéance, le montant que le marchand a l’habitude de payer.

Le message à attendre se devine sans peine. Un courriel aux couleurs de la plateforme, adressé nommément, qui cite le bon numéro de client et le bon montant, et annonce un paiement refusé ou une boutique sur le point d’être suspendue. Le lien mène à une fausse page de paiement ou de connexion. Pour un commerçant dont la boutique est le revenu, la menace de suspension suffit souvent à faire cliquer.

Le format compte aussi. Un fichier JSON est structuré champ par champ : c’est exactement ce qu’on donne à un modèle de langage pour produire des milliers de messages personnalisés, chacun avec ses propres références, dans un français sans faute. La rédaction était l’étape qui freinait ce genre de campagne ; l’IA l’a rendue presque gratuite, comme nous l’avions noté à propos des données fiscales volées à la DGFiP.

Le marchand doit-il prévenir ses propres clients ?

Sur les faits connus, non.

Le RGPD distingue le responsable de traitement, qui détermine les finalités et les moyens (article 4, point 7), du sous-traitant, qui traite pour son compte (article 4, point 8, et article 28). Pour sa propre facturation, WiziShop décide seule : elle en est responsable. C’est donc à elle qu’incombent la notification à la CNIL dans les 72 heures (article 33, paragraphe 1) et l’information des personnes lorsque le risque est élevé (article 34). Elle indique avoir notifié la CNIL et écrit aux personnes concernées.

Le cas inverse existe, et c’est lui qu’un marchand doit garder en tête. Les données des acheteurs relèvent du marchand : les conditions générales de WiziShop (article 7.4) lui en attribuent la responsabilité. Si elles étaient un jour touchées chez la plateforme, l’article 33, paragraphe 2, obligerait celle-ci à prévenir le marchand « dans les meilleurs délais », et c’est le marchand qui devrait alors notifier la CNIL et, si le risque est élevé, informer ses clients. WiziShop affirme que ce n’est pas le cas ici, et le pirate dit la même chose.

Alerter vos acheteurs sur une fuite qui ne les concerne pas n’est donc pas requis, et les inquiéterait pour rien. Préparez plutôt une réponse de deux phrases pour celui qui vous demanderait s’il est concerné.

Ce qu’un marchand WiziShop, Dropizi ou Evolup peut faire cette semaine

Ne jamais payer depuis un courriel. Toute facture, relance ou alerte de suspension se vérifie en ouvrant soi-même l’espace d’administration, par une adresse tapée ou enregistrée en favori. Un message qui cite votre vrai numéro de client ne prouve rien : ce numéro circule.

Refuser tout changement de coordonnées bancaires reçu par écrit. Selon FrenchBreaches, WiziShop rappelle qu’elle ne demandera jamais de régler une facture sur de nouvelles coordonnées bancaires. Une telle demande est donc une fraude, quel que soit l’en-tête.

Prévenir la personne qui règle les factures. Comptable, associé, proche qui tient les papiers : c’est elle qui recevra la relance piégée, et elle n’a peut-être pas lu la notification.

Conserver la notification et relire l’article 9.1 des conditions générales. Dans leur version du 29 novembre 2023, elles imposent au client qui entend mettre en cause la responsabilité de l’éditeur de le notifier, « à peine de forclusion », au plus tard sept jours après la survenance de l’événement. Me Reda Kohen, dans une analyse publiée le 11 septembre, estime que la portée de ce délai se discute, notamment au regard du moment où l’événement a été connu. Si vous envisagez une réclamation, faites vérifier la version applicable à votre contrat par un conseil, sans attendre.

Si vous avez fermé votre boutique il y a des années, vous restez dans le périmètre : le fichier remonte à 2009.

Ces réflexes sont le socle de la formation Cybersécurité pour tous, et nos parcours sont présentés sur la page cybersécurité. Le mécanisme d’un prestataire qui fuit à la place de ses clients fait l’objet d’un article à part.

Un exercice pour ce soir : ouvrez votre dernière facture WiziShop et lisez-la comme la lirait un inconnu. Chaque ligne est un argument qu’il pourra vous resservir, avec votre nom en tête du message.

Sources

• FrenchBreaches, alerte WiziShop et Dropizi, 19 août 2026.
• FrenchBreaches, alerte sur la publication des données, 11 septembre 2026.
• Fuites Infos, article sur la fuite WiziShop, 19 août 2026, mis à jour le 11 septembre 2026.
• Kohen Avocats, analyse juridique, 11 septembre 2026.
• WiziShop, conditions générales de vente du 29 novembre 2023, articles 7.4 et 9.1, consultées le 11 septembre 2026.
• Groupe WiziShop, présentation du groupe, consultée le 11 septembre 2026.
• RGPD, articles 4, 28, 33 et 34, texte publié par la CNIL.