Printerpix confirme une violation de données ayant exposé les informations personnelles d’une partie de ses clients. L’entreprise spécialisée dans l’impression de livres photo, calendriers, toiles et cadeaux personnalisés indique avoir découvert le 5 octobre 2026 qu’un tiers non autorisé avait accédé à certains de ses systèmes entre la fin septembre et le début du mois d’octobre.
Les informations potentiellement récupérées comprennent le nom, l’adresse email, l’adresse postale et l’historique des commandes. Plus préoccupant, Printerpix indique que le mot de passe utilisé pour se connecter au service peut également avoir été affecté.
Printerpix a réinitialisé les mots de passe concernés
Dans le message envoyé aux clients concernés, Printerpix explique avoir réinitialisé par précaution les mots de passe des comptes utilisant une authentification classique.
Les personnes utilisant exclusivement leur compte Google ou Facebook pour se connecter ne disposent pas d’un mot de passe Printerpix : leurs identifiants Google ou Facebook ne sont donc pas concernés par cet incident.
L’entreprise recommande également de changer le mot de passe sur les autres services où la même combinaison aurait été réutilisée. C’est un point important car un mot de passe compromis chez Printerpix pourrait servir à tester automatiquement les mêmes identifiants sur une messagerie, un réseau social ou une boutique en ligne.
On ignore encore comment les mots de passe étaient protégés
Printerpix ne précise pas dans sa notification sous quelle forme les mots de passe étaient stockés au moment de l’incident.
Le fait que l’entreprise considère qu’un mot de passe puisse ensuite être utilisé sur d’autres services ne permet pas, à lui seul, d’affirmer qu’ils étaient conservés en clair. Un hash insuffisamment robuste peut également être cassé après son extraction.
En l’absence de précisions techniques sur l’algorithme utilisé, son éventuel salage ou le mode d’accès des attaquants, il serait donc prématuré d’affirmer que Printerpix stockait les mots de passe en texte brut.
Les historiques de commandes ont aussi été récupérés
Le périmètre ne se limite pas aux coordonnées permettant d’identifier les clients. Printerpix confirme que l’historique des commandes peut également faire partie des informations obtenues par l’attaquant.
Pour un service spécialisé dans les cadeaux et impressions personnalisées, ces informations peuvent fournir du contexte particulièrement utile à des campagnes de phishing : faux problème de livraison, commande nécessitant une confirmation, remboursement ou prétendue nouvelle impression d’un produit.
Printerpix indique en revanche qu’aucune donnée complète de carte bancaire n’est concernée et précise ne pas conserver les coordonnées bancaires complètes de ses clients.
Aucune preuve d’utilisation frauduleuse pour le moment
L’entreprise affirme ne disposer actuellement d’aucune preuve montrant que les informations récupérées ont été utilisées à mauvais escient ou publiées.
Printerpix dit avoir immédiatement sécurisé et isolé les systèmes concernés, changé ses propres identifiants internes et renforcé plusieurs contrôles de sécurité. Des spécialistes indépendants en cybersécurité ont également été sollicités pour participer à l’enquête.
L’incident a par ailleurs été signalé aux autorités compétentes et aux forces de l’ordre. L’enquête reste en cours et Printerpix n’a pas communiqué publiquement le nombre exact de clients concernés.
Printerpix revendique plus de cinq millions de clients
Créé en 2011, Printerpix commercialise ses produits dans plusieurs pays, dont la France. L’entreprise affirme avoir permis à plus de cinq millions de clients de créer des produits à partir de leurs photographies.
Ce chiffre ne doit pas être confondu avec le nombre de victimes : Printerpix n’a pour le moment communiqué aucun volume concernant la violation actuelle.
Un autre problème avait exposé des photos de clients sur Internet
La révélation de cette intrusion intervient dans un contexte particulièrement embarrassant pour Printerpix. Le 21 octobre, les chercheurs de Pen Test Partners ont publié les détails d’une autre vulnérabilité, distincte à ce stade de la cyberattaque annoncée par l’entreprise.
Ils avaient découvert qu’un espace de stockage Amazon S3 utilisé par Printerpix pour conserver des fichiers envoyés par ses clients était publiquement accessible et permettait d’énumérer les fichiers qu’il contenait.
Les chercheurs expliquent avoir identifié des photographies remontant jusqu’à 2021 et estiment que le stockage pouvait contenir des millions de fichiers. En connaissant les clés retournées par l’index, il était possible d’ouvrir les images directement depuis Internet.
La faille des photos avait été signalée dès le 11 août
Pen Test Partners indique avoir averti Printerpix pour la première fois le 11 août 2026. Plusieurs relances ont ensuite été nécessaires.
Le 14 septembre, Printerpix avait pourtant assuré aux chercheurs que les photographies de ses clients n’étaient pas accessibles ou téléchargeables par d’autres personnes. Les chercheurs ont renvoyé des éléments techniques démontrant le problème.
Le 20 octobre, ils ont finalement constaté que l’exposition avait été corrigée, environ 70 jours après le premier signalement. Printerpix ne les aurait pas informés directement de la correction.
Rien ne permet de relier les deux incidents
La proximité des dates est frappante : Printerpix détecte son intrusion le 5 octobre, tandis que l’exposition du stockage de photos est finalement corrigée le 20 octobre.
Il n’existe cependant aucun élément public démontrant que les attaquants ayant pénétré dans les systèmes de Printerpix ont exploité ce bucket S3, ni que les photographies accessibles par cette mauvaise configuration font partie des données récupérées lors de l’intrusion.
La notification envoyée aux victimes ne mentionne d’ailleurs pas les photographies parmi les catégories de données concernées. Les deux événements doivent donc être considérés séparément tant que l’enquête n’a pas établi de lien.
Le principal risque reste désormais le phishing et la réutilisation des mots de passe
Pour les clients concernés, la priorité consiste à ne plus utiliser l’ancien mot de passe Printerpix ailleurs. Une combinaison email/mot de passe réutilisée peut permettre une prise de contrôle en cascade de plusieurs comptes.
Les noms, adresses et véritables historiques de commandes peuvent également servir à envoyer des messages frauduleux beaucoup plus crédibles. Un faux email évoquant une commande Printerpix réelle ou une livraison à l’adresse correcte aura naturellement davantage de chances de tromper sa cible.
L’enquête devra maintenant déterminer combien de clients ont réellement été touchés, comment l’attaquant est entré dans les systèmes et sous quelle forme les mots de passe compromis étaient protégés. Ce dernier point sera déterminant pour évaluer la gravité réelle de la fuite.