La plateforme française Foodtrack.fr fait l’objet d’une revendication de cyberattaque publiée le 18 août 2026. Un acteur malveillant affirme avoir récupéré la base de données du service et disposer également d’un accès administrateur.
La fuite concernerait 1 197 comptes utilisateurs et comprendrait des données personnelles, des commandes, des conversations privées ainsi que différents éléments techniques liés aux comptes et aux paiements.
Foodtrack, une marketplace dédiée aux producteurs locaux
Foodtrack.fr est une marketplace française mettant en relation les consommateurs avec des agriculteurs, producteurs alimentaires, restaurateurs et autres vendeurs locaux. La plateforme permet ainsi de gérer des comptes acheteurs et vendeurs, des commandes et différents échanges entre utilisateurs.
1 197 comptes avec noms, téléphones et adresses
Selon la revendication, la base contiendrait les informations de 1 197 utilisateurs. L’échantillon publié montre notamment des comptes associés à des vendeurs et permet d’observer plusieurs catégories de données :
- adresses e-mail ;
- noms et prénoms ;
- numéros de téléphone ;
- adresses postales ;
- rôles associés aux comptes, notamment vendeur ;
- historique ou informations liées aux commandes ;
- messages échangés sur la plateforme ;
- valeurs de hachage utilisant notamment bcrypt et MD5 ;
- jetons techniques associés aux paiements ou sessions.
Des jetons de paiement également revendiqués
L’attaquant évoque également la présence de « payment tokens » associés aux sessions ou aux paiements. Leur présence ne signifie pas que des numéros complets de cartes bancaires ont été dérobés : un jeton est généralement une valeur technique utilisée pour référencer ou autoriser certaines opérations sans conserver directement les coordonnées de la carte.
Le niveau de risque dépend toutefois de la nature exacte de ces jetons et surtout de leur éventuelle validité au moment de la compromission. Aucun élément fourni ne permet d’affirmer qu’ils permettent directement d’effectuer des paiements.
Des mots de passe présents sous forme de hash
La revendication mentionne également des hachages bcrypt et MD5. Ces valeurs ne correspondent pas à des mots de passe directement lisibles, mais à des empreintes utilisées pour leur stockage ou pour d’autres mécanismes techniques.
La présence de MD5 mérite néanmoins une attention particulière lorsqu’il est utilisé pour protéger des secrets, cet algorithme étant aujourd’hui considéré comme faible. Les éléments disponibles ne permettent cependant pas de déterminer précisément à quels champs correspondent toutes les valeurs revendiquées.
Messages privés et commandes peuvent faciliter les arnaques
La fuite de conversations, commandes et coordonnées personnelles peut permettre de construire des campagnes de phishing particulièrement crédibles. Un fraudeur pourrait reprendre le nom d’un véritable producteur, d’un client ou le contexte d’une commande existante pour demander un paiement ou de nouvelles informations.
Les vendeurs constituent également des cibles intéressantes pour les attaques de type faux changement de coordonnées bancaires, fausses commandes ou usurpation de compte.
Un accès administrateur revendiqué
L’acteur affirme enfin disposer d’un accès administrateur à Foodtrack. Si cette affirmation est exacte et que cet accès était encore actif, son impact pourrait dépasser la simple extraction d’une base de données en permettant potentiellement de consulter ou modifier certaines informations depuis l’interface de gestion.
À ce stade, il s’agit toutefois d’une revendication non confirmée officiellement. Le point d’entrée utilisé, le niveau réel de l’accès administrateur et l’authenticité de l’intégralité des 1 197 comptes annoncés restent à établir.