Une fuite de données attribuée au portail professionnel sales.bebeboutik.fr a été revendiquée sur un forum cybercriminel le 10 juillet 2026. L’auteur affirme diffuser environ 500 000 enregistrements issus de l’outil utilisé par les marques et fournisseurs de Bebeboutik.
Le dépôt serait proposé au format SQL, représenterait environ 1,4 Go et comprendrait près de 1 890 fichiers. Les données concerneraient principalement des contacts professionnels et l’activité commerciale du portail, sans base de clients grand public identifiée à ce stade.
Le portail des vendeurs de Bebeboutik visé
Sales.bebeboutik.fr est l’outil interne permettant aux marques, fournisseurs et vendeurs partenaires de gérer leurs catalogues, leurs offres, leurs stocks, leurs tarifs et le suivi des ventes privées.
La base revendiquée semble donc davantage liée aux relations commerciales entre Bebeboutik et ses partenaires qu’aux comptes des consommateurs utilisant la boutique en ligne.
Un annuaire de fournisseurs et de contacts professionnels
Les informations potentiellement exposées comprendraient notamment :
- nom complet ;
- adresse email professionnelle ;
- numéro de téléphone ;
- adresse postale ;
- entreprise ou marque associée ;
- fiche de contact ou fiche client ;
- identifiants internes ;
- données professionnelles ;
- champs de commentaires ou notes libres ;
- mots de passe stockés sous forme hachée.
La présence de champs libres peut augmenter la sensibilité du dépôt, car ces zones peuvent contenir des informations non structurées ajoutées par les équipes commerciales.
Des données sur les offres et les ventes privées
Le dépôt revendiqué contiendrait également des données relatives aux campagnes commerciales gérées sur la plateforme : offres proposées, conditions négociées, suivi des opérations et informations liées aux ventes privées.
Ces éléments peuvent révéler des informations confidentielles sur les relations entre Bebeboutik et ses fournisseurs, notamment les produits proposés, les conditions commerciales ou le calendrier de certaines opérations.
Pas de base de clients grand public annoncée
Les informations disponibles ne font pas état d’une extraction de la base des acheteurs de Bebeboutik. Le périmètre décrit concerne principalement le portail destiné aux vendeurs, fournisseurs et interlocuteurs internes.
Il reste toutefois impossible de confirmer que l’ensemble du dépôt est limité à ces données professionnelles tant qu’une analyse complète n’a pas été réalisée.
Des mots de passe hachés dans la base
La revendication mentionne la présence de mots de passe sous forme hachée. Ils ne seraient donc pas directement lisibles en clair.
Le niveau de protection dépend néanmoins de l’algorithme utilisé et de la robustesse des mots de passe choisis. Des mots de passe faibles peuvent parfois être retrouvés à partir de leur empreinte, notamment lorsque le hachage utilise une méthode ancienne ou insuffisamment protégée.
Des risques de fraude entre entreprises
Les coordonnées de fournisseurs et les informations commerciales peuvent être utilisées pour mener des campagnes de phishing ciblé contre les marques partenaires.
Les scénarios possibles incluent :
- fausse demande de mise à jour d’un catalogue ;
- faux changement de coordonnées bancaires ;
- fausse facture ;
- fausse invitation à une vente privée ;
- faux message concernant un stock ou une commande ;
- tentative de récupération d’identifiants du portail ;
- usurpation d’un interlocuteur commercial.
Comment la base a-t-elle pu être récupérée ?
L’auteur ne précise pas la méthode utilisée pour obtenir les données. La présence d’un export SQL volumineux pourrait correspondre à une compromission de serveur, un accès non autorisé à une base de données, une sauvegarde exposée ou le détournement d’un compte disposant de droits élevés.
Aucun élément technique public ne permet pour le moment de déterminer l’origine exacte de la fuite ni de savoir si l’accès est toujours actif.
Une revendication à confirmer officiellement
Le nombre exact d’enregistrements, la période couverte et la nature complète des données restent à confirmer. Les 500 000 lignes peuvent également comprendre plusieurs entrées associées à un même fournisseur, contact ou événement commercial.
Si la revendication est authentique, l’incident exposerait une partie importante de l’écosystème professionnel de Bebeboutik, avec des coordonnées de partenaires, des données commerciales et des informations d’accès au portail.