Bol et De Bijenkorf touchés par la même fuite : un sous-traitant, deux enseignes, des données déjà en vente sur le dark web

Deux enseignes, un seul prestataire compromis, et des données déjà en vente sur le dark web : c'est le scénario qui vient de frapper les Pays-Bas. Le géant du e-commerce Bol a averti ses clients d'une fuite de données survenue chez un partenaire logistique, quelques heures seulement après que le grand magasin De Bijenkorf a lancé une alerte quasi identique. Les deux enseignes pointent vers le même sous-traitant, et les données concernées circulent déjà sur des forums clandestins.

Ce qui s'est passé

Selon le NL Times, Bol a confirmé qu'un accès non autorisé avait touché les systèmes de l'un de ses partenaires logistiques, identifié comme CEVA Logistics, responsable du traitement et de la livraison des commandes pour l'un de ses centres de distribution. L'enseigne précise que ses propres systèmes n'ont pas été compromis, mais reconnaît que des informations clients ont pu être consultées ou copiées.

Quelques heures plus tôt, De Bijenkorf avait signalé un incident très similaire, également lié à un prestataire logistique non nommé mais vraisemblablement le même CEVA Logistics — l'enseigne a d'ailleurs constaté des retards dans le traitement de ses commandes en conséquence. Selon RTL Nieuws, les données issues des deux fuites sont désormais proposées à la vente sur le dark web, ce qui confirme l'exploitation active de l'incident par des acteurs malveillants.

Pourquoi c'est important

Cet incident illustre un scénario que Leto documente régulièrement dans sa veille : la sous-traitance reste le maillon faible de la chaîne de conformité RGPD. Un seul prestataire compromis peut exposer simultanément les clients de plusieurs responsables de traitement — ici, deux enseignes concurrentes partageant potentiellement le même logisticien. Ce cas rappelle celui de Lidl, victime d'une fuite chez un prestataire informatique quelques jours plus tôt, ou encore l'affaire des hôpitaux allemands touchés via leur prestataire de facturation : le risque de concentration chez un même sous-traitant est désormais un facteur de risque systémique, pas un cas isolé.

Sur le plan juridique, l'article 28 du RGPD impose au responsable de traitement de s'assurer que son sous-traitant présente des garanties suffisantes et encadre la relation par un contrat robuste. En cas de violation avérée, l'article 33 impose une notification à l'autorité de contrôle compétente — ici l'Autoriteit Persoonsgegevens néerlandaise — dans un délai de 72 heures, et l'article 34 peut exiger une communication directe aux personnes concernées si le risque pour leurs droits est élevé.

Ce que ça change pour les organisations

Pour les DPO et responsables conformité, cet épisode est un rappel opérationnel concret : la cartographie des sous-traitants ne peut pas s'arrêter au premier niveau. Un logisticien, un prestataire de facturation, un hébergeur cloud partagent souvent les mêmes infrastructures pour plusieurs clients, ce qui transforme une faille unique en incident multi-entreprises. Trois réflexes s'imposent :

Auditer régulièrement les sous-traitants critiques, en particulier ceux qui traitent des volumes importants de données clients pour le compte de plusieurs donneurs d'ordre — voir le guide Leto sur l'audit des sous-traitants. Vérifier que les clauses contractuelles imposent une notification rapide de toute violation détectée chez le prestataire, condition indispensable pour respecter le délai de 72 heures de l'article 33. Enfin, préparer en amont un plan de communication client, car la vente des données sur le dark web accélère considérablement le risque de phishing secondaire et de fraude à l'identité pour les personnes concernées.

Ce que Leto pense de cette décision

Ce double incident confirme une tendance que nous observons depuis plusieurs mois dans notre veille : les attaques ne visent plus une entreprise, mais un maillon logistique partagé par plusieurs marques. Pour les PME et ETI qui délèguent une part croissante de leur chaîne d'exécution à des prestataires tiers, la vraie question n'est plus « ai-je un DPA signé ? » mais « mon sous-traitant a-t-il, lui aussi, cartographié et sécurisé ses propres sous-traitants ? ». Sans cette visibilité en cascade, la conformité article 28 reste largement théorique.

Sources : DataBreaches.net, NL Times