Shipup, plateforme spécialisée dans le suivi des livraisons et l’expérience post-achat des sites e-commerce, a été touchée par la vague de cyberattaques ayant exploité une vulnérabilité critique dans Metabase. L’incident commence désormais à avoir des conséquences visibles chez plusieurs entreprises utilisant ses services, dont Easypara et Micromania.
Les notifications adressées aux personnes concernées montrent que des tiers non autorisés ont pu accéder à certaines données clients utilisées pour le suivi des commandes. Dans les deux cas identifiés par Cyberattaque.org, la même période apparaît : des accès auraient été possibles entre le 31 juillet et le 17 août 2026.
Shipup, un intermédiaire entre les e-commerçants et leurs clients
Créée en 2016, Shipup fournit aux e-commerçants une plateforme permettant de centraliser le suivi des colis et de personnaliser les communications envoyées aux consommateurs après une commande.
Le service peut notamment recevoir les informations provenant des boutiques en ligne et des transporteurs afin d’envoyer des e-mails et SMS de suivi, proposer des pages de tracking personnalisées ou détecter certains incidents de livraison.
Cette activité implique nécessairement le traitement de nombreuses informations associées aux commandes. La documentation de Shipup précise notamment que sa plateforme peut synchroniser les données disponibles concernant les commandes, comme les numéros de suivi, le contenu des commandes ou l’adresse de livraison.
Shipup indique accompagner plus de 700 marques. Parmi les références publiquement mises en avant figurent notamment Courir, L’Occitane, Veja, Withings, Easypara ou encore Micromania. La société a rejoint en 2026 ZigZag Global afin de proposer une plateforme commune couvrant livraison, retours et remboursements.
Une instance Metabase touchée
L’origine de l’incident se trouve dans Metabase, un logiciel open source permettant aux entreprises d’explorer et de visualiser leurs bases de données.
Début août 2026, plusieurs vulnérabilités importantes ont été corrigées par l’éditeur. Parmi elles figure la CVE-2026-72898, une vulnérabilité critique ayant fait l’objet d’exploitations actives alors qu’elle était encore inconnue du public.
Le CERT-FR indique que les failles découvertes dans Metabase peuvent notamment entraîner une atteinte à la confidentialité des données ou permettre des injections SQL. Les premiers correctifs liés à cette série de vulnérabilités ont été publiés le 6 août 2026.
Cyberattaque.org alertait déjà sur des instances Metabase vulnérables
Dès le 26 août 2026, Thomas Lazzaroni alertait sur LinkedIn sur le maintien en ligne d’instances Metabase vulnérables, notamment au sein de services liés à l’État, alors que les correctifs de sécurité étaient disponibles depuis près de trois semaines.
La vulnérabilité CVE-2026-72898, notée 10/10, permet à un attaquant distant non authentifié de réaliser une injection SQL via un point de terminaison de Metabase et d’obtenir potentiellement des privilèges administrateur sur l’instance. Une compromission réussie peut ainsi donner accès aux informations accessibles depuis les bases de données connectées à la plateforme.
Depuis, les cas liés à Metabase se sont multipliés. LeMagIT a notamment confirmé que Shipup faisait partie des entreprises affectées lors de cette vague, aux côtés de Tixel, Tally, Framework ou encore Zéro Logement Vacant.
Easypara : un premier incident révélé fin août
Un premier indice concret de la compromission de Shipup était apparu avec Easypara. La parapharmacie en ligne avait informé certains de ses clients qu’un prestataire chargé de l’envoi des communications de suivi de livraison avait subi un incident de sécurité.
Les personnes concernées avaient été averties que leur nom, prénom, adresse e-mail et éventuellement numéro de téléphone avaient pu être consultés par des tiers.
Easypara indiquait que l’accès avait été rendu possible par une vulnérabilité jusqu’alors inconnue affectant Metabase, exploitée dans le cadre d’une campagne mondiale. Les accès non autorisés auraient été possibles entre le 31 juillet et le 17 août, avant le blocage définitif des accès.
Micromania touché à son tour
L’enseigne de jeux vidéo évoque elle aussi une cyberattaque contre son prestataire chargé du suivi des colis et de l’envoi des notifications de livraison. Là encore, Micromania indique que les accès ont été possibles entre le 31 juillet et le 17 août 2026.
Les données concernées sont également similaires : nom, prénom, adresse e-mail et numéro de téléphone lorsqu’il était renseigné. Les mots de passe et informations bancaires ne seraient pas concernés.
Micromania ne nomme pas directement Shipup dans sa notification. L’utilisation de la plateforme par l’enseigne est cependant publiquement documentée par Shipup elle-même : le prestataire indique gérer pour Micromania ses notifications de livraison multicanal et sa page de suivi personnalisée.
D’autres grandes enseignes pourraient-elles être concernées ?
La découverte de deux clients français de Shipup présentant exactement la même fenêtre d’exposition pose désormais une autre question : d’autres entreprises utilisant la plateforme ont-elles pu être concernées par le même incident ?
À ce stade, aucune information publique ne permet de répondre à cette question ni d’affirmer que l’ensemble des clients de Shipup partageaient le même environnement Metabase. La compromission d’une instance interne ne signifie pas non plus automatiquement que toutes les données traitées par Shipup y étaient accessibles.
Plusieurs grandes enseignes sont toutefois publiquement présentées comme clientes ou utilisatrices de Shipup. Parmi elles figurent notamment :
- Courir ;
- L’Occitane en Provence ;
- Veja ;
- Withings ;
- Specsavers ;
- Printemps ;
- Faguo ;
- ba&sh ;
- Sergent Major ;
- Carrefour ;
- Aroma-Zone ;
- La Fourche ;
- LALALAB ;
- Chantelle.
La présence de ces entreprises dans les références commerciales de Shipup ne signifie en aucun cas qu’elles ont été touchées par la cyberattaque. Elles constituent simplement autant d’entreprises dont les données pourraient théoriquement avoir transité par les services de Shipup selon les fonctionnalités utilisées.
Pour qu’une de ces enseignes soit effectivement concernée, il faudrait notamment que ses données aient été accessibles depuis l’environnement Metabase compromis au moment de l’intrusion. Pour l’instant, seuls Easypara et Micromania ont été rapprochés de cet incident par Cyberattaque.org à partir des notifications adressées à leurs clients.
Un risque de phishing particulièrement crédible
Les informations liées au suivi de livraison présentent un intérêt particulier pour les fraudeurs. Associées à l’identité et aux coordonnées d’un consommateur, elles peuvent servir à fabriquer de faux SMS ou e-mails faisant référence à une livraison, un colis bloqué ou une commande récente.
Les personnes concernées doivent donc être particulièrement vigilantes face aux messages demandant de régler de prétendus frais de livraison ou de douane, de confirmer une adresse ou de saisir des informations bancaires pour débloquer un colis.
Cette compromission illustre une nouvelle fois l’effet en cascade que peut provoquer la faille d’un prestataire commun à plusieurs grandes enseignes : une seule infrastructure vulnérable peut exposer indirectement les données de consommateurs appartenant à de nombreuses entreprises différentes.