Fuite de données chez Intermarché : 2 millions de comptes Drive dans le viseur d'une intrusion

Intermarché a averti une partie de ses clients Drive qu'un accès non autorisé à ses systèmes d'information avait exposé certaines de leurs données personnelles. Selon Numerama, l'incident concernerait environ deux millions de comptes — un chiffre que l'enseigne elle-même n'a pas confirmé publiquement. L'affaire illustre, une fois de plus, la vitesse à laquelle un data breach chez un acteur de la grande distribution peut virer au casse-tête RGPD.

Ce qui s'est passé

Intermarché a adressé un e-mail à une partie de sa clientèle Drive pour signaler un accès non autorisé à une partie de son système d'information. Les données susceptibles d'avoir été consultées incluent noms, prénoms, dates de naissance, numéros de carte de fidélité, adresses de facturation, numéros de téléphone, ainsi que les références et montants des commandes en ligne. L'enseigne affirme qu'aucune donnée bancaire, aucun mot de passe, aucune adresse e-mail ni aucune information de compte de fidélité n'a été compromis. Elle indique avoir bloqué les accès concernés, ouvert une enquête interne, notifié la CNIL et déposé plainte.

Numerama, qui a consulté les communications envoyées aux clients, évoque environ deux millions de comptes concernés — un ordre de grandeur qui, à ce stade, ne provient pas d'une communication officielle du groupement Les Mousquetaires, propriétaire de l'enseigne.

Pourquoi c'est important

Ce type d'incident active mécaniquement deux obligations RGPD bien connues des DPO : la notification à la CNIL sous 72 heures (article 33) et, si le risque pour les personnes concernées est élevé, l'information individuelle de ces dernières (article 34). Un volume de plusieurs millions de comptes dans le secteur de la grande distribution française fait quasi automatiquement basculer l'incident dans la seconde catégorie.

Notre guide sur la conduite à tenir en cas de violation de données rappelle que la qualification juridique ne dépend pas du volume de données mais de la nature du risque : ici, la combinaison nom, date de naissance, numéro de fidélité et adresse suffit à alimenter des campagnes de phishing ciblées, même en l'absence de mot de passe ou d'IBAN.

Ce dossier rejoint une série d'incidents comparables dans le retail français ces derniers mois : Lidl a connu un scénario proche via un prestataire informatique tiers, signe que la surface d'attaque des enseignes de grande consommation — sites e-commerce, Drive, programmes de fidélité — reste un point d'entrée privilégié pour les attaquants.

Ce que ça change pour les organisations

Pour les DPO et RSSI, cet épisode est un rappel opérationnel simple :

• vérifier que le registre des traitements associe bien chaque système (Drive, fidélité, paiement) à un plan de réponse à incident testé, pas seulement documenté ;
• anticiper la communication vers les personnes concernées avant que la presse ne s'en charge à leur place — Intermarché a déjà payé le prix, en 2024, d'une communication mal calibrée sur un précédent incident de sécurité sans lien direct avec celui-ci, ce qui alimente aujourd'hui la confusion des clients ;
• documenter précisément le périmètre des données touchées : la distinction entre données « consultées » et données « exfiltrées » pèse lourd dans la qualification du risque, et donc dans l'obligation de notification individuelle.

Ce que Leto pense de cette décision

Ce n'est pas la fuite en elle-même qui pose ici le plus de problème, mais l'incertitude qui l'entoure : ni le volume exact, ni la fenêtre de compromission, ni la méthode d'intrusion ne sont confirmés à ce stade. Une entreprise qui notifie sans détail précis prend le risque de voir la presse et les internautes combler eux-mêmes les zones d'ombre — souvent au prix d'une perte de confiance disproportionnée par rapport au risque réel. La meilleure protection contre l'incertitude reste une communication de crise préparée en amont, pas improvisée sous la pression des 72 heures.

Sources :
Numerama · FrenchBreaches · Clubic