La boutique française Petit Gramme fait l’objet d’une revendication de fuite de données publiée le 7 août 2026. Un acteur utilisant le pseudonyme imy affirme vendre une base contenant 204 854 enregistrements clients pour seulement 150 dollars.
L’échantillon diffusé contient des noms, prénoms, numéros de téléphone et adresses e-mail, ainsi que plusieurs informations permettant de distinguer les particuliers des professionnels. À ce stade, Petit Gramme n’a pas publiquement confirmé cette compromission et le nombre de personnes uniques réellement concernées reste à établir.
Petit Gramme, une marque française de papeterie
Petit Gramme est une marque française de papeterie disposant d’une boutique et d’un studio de création à Paris. Son catalogue comprend notamment des carnets, cartes, affiches, blocs-notes et produits de coloriage. La société exploite également un espace professionnel destiné aux revendeurs B2B.
La société PG Petit Gramme est enregistrée à Paris depuis 2018. Son activité mêle donc vente directe aux particuliers et distribution auprès de professionnels, ce qui correspond aux différents types de profils visibles dans la base revendiquée.
204 854 enregistrements clients annoncés
Le vendeur affirme disposer de 204 854 lignes. Il est important de parler d’enregistrements et non automatiquement de 204 854 victimes uniques : aucun élément ne permet encore de vérifier l’absence de doublons ou de déterminer si plusieurs entrées peuvent correspondre à une même personne.
Les champs annoncés comprennent notamment :
- identifiant interne ;
- nom et prénom ;
- numéro de téléphone ;
- adresse e-mail ;
- pays ;
- indication particulier ou professionnel ;
- entreprise associée pour certains comptes ;
- localisation renseignée ;
- tags internes et informations liées au statut du client.
Des particuliers mais aussi des clients professionnels
La structure de la base contient notamment un indicateur B2B ainsi que des champs relatifs à l’entreprise et à la localisation actuelle. Petit Gramme disposant justement d’un portail dédié à ses revendeurs professionnels, une partie des données pourrait ainsi concerner des boutiques ou partenaires commerciaux en plus des acheteurs particuliers.
L’échantillon montre par ailleurs aussi bien des adresses e-mail personnelles que professionnelles. Nous ne reproduisons évidemment aucune des coordonnées diffusées.
Aucun mot de passe visible dans les données revendiquées
La liste des champs publiée par le vendeur ne comporte ni mot de passe, ni adresse postale complète, ni donnée bancaire. Rien ne permet donc, sur la base des éléments actuellement disponibles, d’affirmer que ces informations ont été compromises.
La combinaison du nom, du téléphone et de l’adresse e-mail reste néanmoins suffisante pour mener des campagnes de phishing très ciblées en se faisant passer pour Petit Gramme, un transporteur ou un service de paiement.
Comment cette base a-t-elle pu être récupérée ?
L’auteur ne donne aucune information sur la méthode utilisée. Une compromission d’un compte administrateur, le vol d’une clé d’accès, une application tierce vulnérable ou l’accès frauduleux à une fonction d’export peuvent permettre de récupérer une base clients sans nécessairement compromettre l’ensemble de l’infrastructure d’un commerçant.
À ce stade, aucun élément ne permet d’attribuer la fuite à l’une de ces méthodes ni de déterminer précisément quel système aurait été compromis.
Une base vendue pour seulement 150 dollars
Le fichier est actuellement proposé à la vente pour 150 dollars. Un prix particulièrement faible pour plus de 200 000 enregistrements et qui pourrait faciliter sa circulation entre différents acteurs malveillants si la base est authentique.
Les données pourraient notamment être utilisées pour du phishing, des appels frauduleux, de l’usurpation d’identité commerciale ou l’enrichissement d’autres bases compromises.
Une fuite encore à confirmer
Pour l’instant, il s’agit d’une revendication non confirmée officiellement par Petit Gramme. L’échantillon publié semble correspondre à une base clients structurée, mais son origine exacte, son ancienneté et le nombre réel de personnes uniques concernées restent à vérifier.