Une base attribuée à Boulanger a été mise en ligne le 11 septembre 2026 par le hacker fuie sur un forum cybercriminel. Présentée par son auteur comme une base provenant de Boulanger.com, elle contient 132 230 enregistrements qui semblent en réalité correspondre principalement à des dossiers de service après-vente et de garantie provenant de magasins partenaires du réseau Ex&Co.
Les données couvriraient environ 132 000 dossiers ouverts entre 2010 et septembre 2026 dans une cinquantaine de magasins. Elles associent les coordonnées des clients à des informations particulièrement précises sur les appareils achetés et les interventions réalisées.
Des magasins du réseau Ex&Co partenaires de Boulanger
Les éléments disponibles permettent de préciser le périmètre de cette fuite. Les dossiers semblent provenir de points de vente appartenant au réseau Ex&Co, qui regroupe des commerçants indépendants spécialisés dans l’électroménager et le multimédia.
Boulanger a pris en 2018 une participation dans Ex&Co, la centrale d’achat de ces réseaux. La revendication du hacker présente pourtant le fichier comme provenant directement de Boulanger.com. À ce stade, les données observées orientent plutôt vers un environnement de gestion du service après-vente utilisé au sein de cet écosystème de magasins partenaires.
132 230 dossiers SAV publiés
Le hacker fuie annonce un total de 132 230 enregistrements. Il ne s’agit toutefois pas d’autant de victimes différentes : le fichier contiendrait environ 61 000 clients distincts, certains pouvant apparaître dans plusieurs dossiers en fonction de leurs achats ou des interventions réalisées sur leurs appareils.
Les dossiers auraient été créés entre 2010 et septembre 2026, ce qui donne à la fuite une profondeur historique importante. Une partie des personnes présentes dans la base pourrait ainsi correspondre à des clients ayant réalisé un achat ou une demande de prise en charge il y a plus de dix ans. Les quelque 132 000 dossiers seraient répartis entre une cinquantaine de magasins.
Identités adresses et téléphones dans les données
Cyberattaque.org s’est procuré des échantillons. Les données permettent d’associer directement les dossiers SAV à leurs propriétaires. Parmi les informations présentes figurent notamment :
- nom et prénom ;
- adresse postale complète ;
- code postal et ville ;
- numéros de téléphone fixe ou portable ;
- adresse e-mail lorsqu’elle est renseignée ;
- numéro ou identifiant associé au dossier.
Environ un dossier sur quatre contiendrait également l’adresse électronique du client. Aucun mot de passe ni aucune donnée bancaire n’apparaîtraient en revanche dans le fichier diffusé.
Les appareils et les pannes sont précisément documentés
La particularité de cette fuite réside surtout dans le niveau de détail des informations associées aux produits. Chaque dossier peut notamment comporter :
- la marque et le modèle de l’appareil ;
- la désignation et les références du produit ;
- le numéro de série ;
- le numéro de facture ;
- la date et le prix d’achat ;
- le magasin associé ;
- le motif de la panne ou de l’intervention ;
- le type de garantie ;
- la date de clôture du dossier ;
- différentes références et informations internes.
Dans l’un des enregistrements diffusés, le dossier concerne par exemple un lave-vaisselle acheté en 2015. Le fichier indique son modèle, son numéro de série, son prix d’achat ainsi qu’un dossier lié à une panne hors garantie clôturé plusieurs années plus tard.
Une base qui semble issue d’un outil de gestion du SAV
La présence simultanée de numéros de dossiers, motifs d’intervention, garanties, références de produits et dates de clôture suggère que les informations proviennent d’un système destiné à la gestion du service après-vente plutôt que d’une simple base marketing ou d’un fichier de comptes clients.
Le périmètre des magasins retrouvés dans les données renforce l’hypothèse d’un environnement utilisé par plusieurs points de vente du réseau Ex&Co ou par un acteur intervenant dans leur gestion du SAV.
Il reste cependant impossible à ce stade d’identifier précisément le système compromis ou le chemin emprunté par l’attaquant. Le hacker ne donne aucune indication technique sur la manière dont il aurait obtenu la base et ne mentionne ni vulnérabilité particulière ni compromission de compte.
Des données conservées pendant plus de quinze ans
La période couverte par les fichiers est également notable. Les premiers dossiers remonteraient à 2010, tandis que les plus récents dateraient de septembre 2026.
Cette profondeur historique signifie que des personnes n’ayant plus de relation commerciale avec les magasins concernés depuis plusieurs années pourraient toujours apparaître dans les données publiées.
Des faux messages du SAV particulièrement crédibles
Le principal risque concerne désormais les campagnes de phishing et d’ingénierie sociale ciblées. Contrairement à une fuite contenant seulement une adresse e-mail ou un numéro de téléphone, les informations diffusées permettent à un fraudeur de connaître précisément les produits détenus par certaines victimes.
Un attaquant pourrait ainsi se faire passer pour un magasin, Boulanger, un fabricant ou un réparateur en mentionnant la marque et le modèle exacts de l’appareil, sa date d’achat, son numéro de série ou l’existence d’une ancienne intervention.
Ces informations pourraient notamment servir à réclamer un paiement pour une prétendue réparation, une extension de garantie, le remplacement d’une pièce ou une nouvelle intervention à domicile. L’utilisation de données authentiques peut rendre ces scénarios particulièrement crédibles auprès des personnes ciblées.
Les adresses et équipements peuvent également être croisés
La présence d’une adresse postale associée à la nature précise d’un appareil augmente également la sensibilité de la fuite. Selon les dossiers, il devient possible de savoir quel équipement a été acheté par une personne et à quelle adresse il est utilisé ou enregistré.
Ces données peuvent aussi être croisées avec d’autres bases déjà diffusées afin d’enrichir le profil d’une victime et de construire des campagnes d’escroquerie encore plus personnalisées.
La revendication n’est pas encore confirmée
À ce stade, la publication repose sur les affirmations du hacker fuie et sur les données diffusées. Si leur contenu est cohérent avec des dossiers SAV issus de magasins partenaires du réseau Ex&Co, rien ne permet encore d’établir publiquement que le système informatique de Boulanger lui-même a été compromis.
Boulanger n’a pas encore confirmé publiquement l’incident ni l’origine exacte des 132 230 enregistrements. Il reste notamment à identifier le système depuis lequel les données ont été extraites, l’acteur qui en assurait l’exploitation et les circonstances précises ayant permis leur récupération.