Les données personnelles et commerciales de milliers de clients du spécialiste français de la peinture automobile ColorBox seraient compromises. Le 9 novembre 2026, le hacker ChimeraZ a annoncé la diffusion d’une base de données attribuée au site color-box.eu, contenant plus de 7,6 millions d’enregistrements pour un volume de 2,2 Go. Les fichiers présentés comprennent notamment des coordonnées personnelles, des factures, des historiques de livraison et des empreintes de mots de passe.
ColorBox est une entreprise française spécialisée dans la distribution de peintures automobiles, de consommables et d’équipements destinés aux professionnels de la carrosserie. Lancée en 2010, la plateforme commercialise plusieurs milliers de références auprès des garages et carrossiers. Elle est exploitée par la société COLOR, dont le siège est situé à Paris, et revendique plus de 23 000 carrossiers clients.
ChimeraZ annonce la diffusion de 2,2 Go de données
Dans une publication datée du 9 novembre 2026 à 19 h 53, le hacker ChimeraZ affirme avoir récupéré une importante base de données appartenant à ColorBox.
Contrairement à certaines de ses précédentes revendications, le cybercriminel annonce cette fois une diffusion des informations plutôt qu’une simple mise en vente.
Selon les chiffres communiqués, les fichiers représenteraient :
- 7 673 997 lignes réparties dans plusieurs fichiers CSV ;
- 87 787 numéros de téléphone ;
- 60 291 adresses email ;
- 2,2 Go de données au total ;
- Des fichiers contenant des informations clients, commerciales et logistiques.
Ces volumes proviennent des déclarations du hacker et n’ont pas été vérifiés dans leur intégralité. Le nombre de lignes ne correspond pas nécessairement au nombre de personnes concernées, un même client pouvant apparaître dans plusieurs fichiers.
Factures, livraisons et mots de passe dans les fichiers présentés
Les extraits publiés par ChimeraZ révèlent une structure de base de données comprenant plusieurs catégories d’informations.
Les fichiers annoncés portent notamment sur :
- Plus d’un million d’entrées de listes de diffusion ;
- 174 000 enregistrements relatifs aux colis ;
- 144 000 factures ;
- 114 000 entrées issues d’un fichier professionnel intitulé Manageo ;
- Environ 16 000 fiches de comptes utilisateurs ;
- Environ 16 000 adresses de livraison.
Les exemples rendus publics contiennent des noms, prénoms, adresses postales, coordonnées téléphoniques, emails, références de commandes, montants de factures et informations de livraison.
Les fiches utilisateurs comprennent également des chaînes de 32 caractères hexadécimaux compatibles avec des empreintes de mots de passe MD5, un ancien algorithme de hachage aujourd’hui considéré comme inadapté à leur protection.
La présence éventuelle de mots de passe récupérables constitue un risque supplémentaire pour les utilisateurs qui réemploient leurs identifiants sur d’autres services. Les extraits disponibles ne permettent toutefois pas de déterminer si ces empreintes bénéficient de mécanismes de protection complémentaires.
Une base qui pourrait provenir d’un ancien système de commerce électronique
Un élément intéressant apparaît dans l’organisation des fichiers revendiqués. Les noms des tables, notamment celles consacrées aux utilisateurs, aux factures, aux colis et aux listes de diffusion, évoquent une extraction structurée d’une base de commerce électronique.
Or, ColorBox dispose actuellement d’une nouvelle boutique fonctionnant sur Shopify. L’entreprise indique sur son site que les anciens clients doivent réinitialiser leur mot de passe lors de leur première connexion à cette nouvelle plateforme, tout en conservant l’accès à leurs anciennes commandes.
Cette évolution soulève la possibilité que les informations revendiquées proviennent d’un ancien environnement informatique, d’une sauvegarde ou d’une base historique conservée après une migration.
Aucune preuve ne permet cependant de confirmer cette hypothèse ni d’affirmer que la plateforme Shopify actuellement utilisée aurait été compromise. La date d’extraction des fichiers et la méthode d’accès initiale restent inconnues.
Des risques de fraude ciblant les garages et les carrossiers
La combinaison d’informations personnelles, de factures et de données commerciales pourrait faciliter des escroqueries ciblées contre les clients de ColorBox.
Des cybercriminels pourraient notamment se faire passer pour le fournisseur afin d’envoyer de fausses factures, des demandes de règlement ou des notifications concernant des commandes de peinture et de matériel de carrosserie.
La présence de coordonnées professionnelles pourrait également permettre d’identifier certains garages et entreprises du secteur automobile pour organiser des campagnes de phishing ou des fraudes au changement de coordonnées bancaires.
Enfin, si les empreintes de mots de passe revendiquées sont authentiques et insuffisamment protégées, les attaquants pourraient tenter de retrouver les mots de passe d’origine et de les réutiliser sur d’autres plateformes.
Une fuite revendiquée, mais pas encore reconnue par ColorBox
Au 9 novembre 2026, aucune confirmation publique de ColorBox concernant cette revendication n’a été identifiée. L’entreprise n’a pas communiqué sur un éventuel accès non autorisé à ses systèmes informatiques.
Les extraits présentés par ChimeraZ montrent des données structurées et cohérentes avec les activités commerciales de la société, mais leur origine exacte et l’ampleur de la compromission restent à établir.
Le nombre de personnes réellement concernées pourrait être inférieur aux volumes annoncés, notamment en raison des doublons entre fichiers et de la présence possible de coordonnées professionnelles provenant de bases commerciales externes.
Cette nouvelle revendication souligne néanmoins un risque important pour les entreprises ayant fait évoluer leur plateforme de vente : les anciennes bases clients et les archives commerciales peuvent rester sensibles longtemps après une migration informatique, particulièrement lorsqu’elles conservent des informations d’authentification.