Le hacker Syrv4x vient de publier gratuitement une base de 49 761 lignes attribuée au sous-domaine afflelou.apprographic.com. L’archive, d’environ 28 Mo, contient principalement des informations de facturation et de commandes réalisées par des magasins du réseau Alain Afflelou.
La fuite a été publiée le 17 octobre 2026. Mais contrairement à ce que pourrait laisser penser le nom Afflelou, il ne s’agit pas d’une base contenant les dossiers médicaux ou les achats de lunettes des clients particuliers. Les données semblent provenir d’un ancien portail professionnel utilisé pour commander des supports imprimés et de la papeterie pour les magasins.
Des factures de magasins plutôt que des données de patients
Les lignes diffusées comportent notamment un numéro de facture, une date, un code client interne, le destinataire, son adresse, les produits commandés, les quantités, les prix hors taxes, la TVA et le montant total à payer.
Les exemples publiés concernent des magasins ou sociétés exploitant des points de vente Alain Afflelou dans différentes villes françaises. Les commandes portent sur des éléments comme des cartes de visite, porte-ordonnances, reçus clients ou autres supports imprimés personnalisés.
Certains intitulés de commandes peuvent également contenir des noms de collaborateurs ou des références internes utilisées pour personnaliser les documents.
L’échantillon renvoie à des commandes vieilles de plus de dix ans
Un détail est essentiel pour comprendre cette fuite : les factures fournies en exemple sont datées de mars 2015.
Rien ne permet donc, à ce stade, d’affirmer que les 49 761 enregistrements proviennent d’une intrusion récente dans les systèmes actuels du groupe Afflelou. Syrv4x pourrait avoir récupéré une ancienne base de facturation ou des archives issues d’un portail historique.
La date de publication en octobre 2026 correspond uniquement au moment où le hacker a décidé de diffuser les données, pas nécessairement à celui où elles ont été récupérées.
Des URLs de factures directement référencées dans la base
Chaque enregistrement possède également une URL pointant vers une page de facture du portail, avec un identifiant numérique du type FacId.
Cette structure pourrait avoir facilité une récupération automatisée si le portail présentait autrefois un défaut de contrôle d’accès permettant de modifier simplement l’identifiant d’une facture. Ce scénario reste toutefois une hypothèse : Syrv4x n’explique pas comment les données ont été obtenues.
Une compromission d’un compte, une ancienne sauvegarde ou un accès au serveur restent tout aussi possibles.
Le vrai risque se situe surtout du côté des magasins
La fuite ne présente pas le même niveau de sensibilité qu’une base contenant des ordonnances ou des données de santé. Elle fournit néanmoins une quantité importante d’informations sur le fonctionnement du réseau : raison sociale des magasins, adresses, codes internes, fournisseurs, historique de commandes et montants facturés.
Ces informations peuvent notamment servir à construire des tentatives de fraude au faux fournisseur ou au faux changement de coordonnées bancaires. Un attaquant connaissant un ancien numéro de facture, le nom du prestataire et les habitudes de commande dispose déjà de nombreux éléments pour rendre un email frauduleux crédible.
Une publication massive, mais qui raconte surtout l’histoire d’un ancien outil
Syrv4x annonce 49 761 lignes, mais ce volume ne correspond pas à 49 761 magasins ni à 49 761 personnes. Il s’agit vraisemblablement de factures et de commandes successives générées au fil du temps par les différents points de vente.
Le caractère ancien des exemples est finalement l’élément le plus intéressant de cette affaire. Cette fuite rappelle qu’un service abandonné ou remplacé peut continuer à représenter un risque des années plus tard lorsque ses archives, ses bases ou ses anciennes interfaces restent accessibles quelque part.