Zara : 197 000 clients exposés par une fuite ShinyHunters via Anodot — ce que les DPO doivent en retenir

Zara confirme qu'un piratage chez son prestataire d'analytics a exposé près de 197 000 de ses clients. Derrière l'incident, le collectif ShinyHunters et un schéma désormais récurrent : un sous-traitant compromis, des tokens d'authentification volés, et des dizaines d'entreprises clientes qui découvrent la fuite plusieurs semaines après les faits.

Ce qui s'est passé

Le 11 mai 2026, le service de notification HaveIBeenPwned a publié la liste des données exfiltrées du périmètre Zara à l'occasion d'un incident survenu en avril 2026. Au total, plus de 197 000 enregistrements clients sont concernés : adresses e-mail uniques, références produits (SKU), identifiants de commande et informations liées aux tickets support. Inditex, maison mère de l'enseigne, a précisé qu'aucun nom, mot de passe, donnée de carte bancaire ou autre moyen de paiement n'aurait été compromis.

L'origine de la fuite n'est plus chez l'enseigne elle-même : elle se trouve chez Anodot, un fournisseur d'analytics utilisé par plusieurs grands comptes. ShinyHunters affirme avoir récupéré des jetons d'authentification Anodot, puis les avoir utilisés pour interroger des instances BigQuery (et, selon HaveIBeenPwned, certaines instances Snowflake) appartenant aux clients du prestataire. Les attaquants revendiquent un trove de 140 Go de documents, et jusqu'à 95 millions d'enregistrements de tickets support tous clients confondus. Vimeo, Rockstar Games, McGraw Hill et l'éditeur edtech Instructure (Canvas LMS) figureraient parmi les autres victimes du même cluster d'attaques.

Pourquoi c'est important

L'incident Zara n'est pas une fuite isolée : c'est la suite logique d'une série « pay or leak » que ShinyHunters opère depuis plusieurs mois. Fin avril, Medtronic a déjà été contrainte de confirmer 9 millions d'enregistrements exfiltrés par le même collectif. Le scénario est identique à chaque fois : un prestataire est compromis, ses tokens permettent un accès en lecture à plusieurs data warehouses clients, et l'extorsion frappe en cascade.

Pour les DPO, deux conséquences juridiques se télescopent. D'une part, l'article 33 du RGPD impose à chaque responsable de traitement européen affecté de notifier l'autorité de contrôle dans les 72 heures suivant la prise de connaissance de la violation — un délai qui court, dans ce type de chaîne, à partir du moment où le sous-traitant remonte l'information. D'autre part, la responsabilité reste partagée. Le cadre responsable de traitement / sous-traitant du RGPD (articles 28 et 32) ne s'efface pas parce que la faille technique est chez Anodot : le donneur d'ordre reste comptable de la sécurité du traitement vis-à-vis de ses clients finaux.

La fuite Zara s'inscrit aussi dans une tendance plus large que nous suivons depuis plusieurs mois : les contentieux post-violation se déplacent vers le donneur d'ordre, y compris lorsque la faille est purement chez le sous-traitant. Côté européen, le mécanisme est transposable via l'article 82 du RGPD (responsabilité solidaire et droit à réparation).

Ce que ça change pour les organisations

L'enseignement de cette série Anodot est concret. Les fuites « grand volume » de 2026 ne passent presque plus par les SI directs des entreprises sanctionnées : elles transitent par leurs data pipes analytics, des plateformes SaaS connectées en lecture aux entrepôts de données. Les actions à programmer dès ce trimestre :

• Cartographier les tokens et les accès de lecture détenus par les prestataires analytics, BI et marketing sur BigQuery, Snowflake, Redshift, Databricks. Lister les jeux de données concernés, leur sensibilité et leur durée de conservation côté sous-traitant.
• Réviser les DPA de ces prestataires : engagement de rotation périodique des tokens, obligation de notification dans un délai contractuel court (idéalement 24 heures), audit des journaux d'accès, clause d'assistance pour la qualification de violation au sens de l'article 33.
• Préparer un scénario de notification en cascade : si le sous-traitant remonte une compromission générale, le DPO doit pouvoir déterminer en quelques heures si les jeux de données concernés contiennent des informations personnelles de ses clients ou collaborateurs, et déclencher la notification CNIL le cas échéant. Notre guide sur la réaction à une violation reprend pas à pas la procédure et les pièces à constituer.
• Surveiller l'angle « extorsion » : ShinyHunters fixe systématiquement un délai d'ultimatum avant publication. La décision de payer ou non doit être documentée et coordonnée avec la direction juridique, la sécurité, et — si l'entreprise est entité essentielle ou importante — les obligations NIS 2.

Ce que Leto pense de cette décision

Cette fuite n'est pas l'histoire d'une enseigne qui aurait mal protégé ses bases : c'est l'histoire d'une chaîne de sous-traitance analytics dont les jetons sont devenus le point faible commun à des dizaines de marques. Tant que les DPO continueront à auditer leurs propres SI sans cartographier précisément qui détient quel token en lecture sur leurs entrepôts de données, la prochaine fuite « 200 000 clients » sera presque mécanique. Le vrai chantier 2026 n'est pas la conformité interne — il est dans la gouvernance des accès accordés aux prestataires SaaS.

Sources :
Infosecurity Magazine — Zara Data Breach Impacts Nearly 200,000 Customers (11 mai 2026)
HaveIBeenPwned — Notice de la fuite Zara