Le site Caverne des Jouets se serait fait voler 969 000 adresses e-mail, selon un pirate

L'annonce est apparue le 7 novembre sur un forum cybercriminel, à sept semaines de Noël. Un vendeur y propose ce qu'il présente comme la base de données de caverne-des-jouets.com, une boutique de jouets en ligne installée à Attenschwiller, dans le Haut-Rhin. Le site spécialisé Fuites Infos, qui a relayé la revendication, en détaille le contenu. L'entreprise n'a pas confirmé publiquement l'incident à ce stade.

Les chiffres avancés par le vendeur sont élevés : 969 386 adresses e-mail, 903 115 numéros de téléphone, 895 233 adresses postales et 850 254 mots de passe, stockés sous forme d'empreintes (hachés). Le tout représenterait environ 9,4 millions de lignes réparties dans 73 fichiers, pour 4,5 Go, et couvrirait la période 2009-2026. Aucun de ces volumes n'a été vérifié.

Ce que contiendrait le fichier

Selon la liste publiée par Fuites Infos, les fiches comporteraient :

• l'identité des clients : nom, prénom, civilité et date de naissance ;
• leurs coordonnées : adresse e-mail, téléphone et adresse postale ;
• les mots de passe hachés ;
• l'historique des commandes, les factures, les montants et les points de fidélité ;
• les adresses IP enregistrées lors des commandes ;
• les courriels échangés avec la boutique et les commentaires de livraison.

Fuites Infos indique avoir analysé l'échantillon publié par le vendeur. Noms, adresses e-mail, téléphones, adresses postales, dates de naissance, mots de passe hachés et historiques de commandes et de livraisons y figurent, pour des clients datés de 2009 à 2022, et certains comptes internes montrent une activité en octobre 2026. L'échantillon ne contient aucune donnée bancaire.

Une revendication, pas une confirmation

Ces chiffres sont à lire avec prudence. Un nombre de lignes n'est pas un nombre de victimes : une même personne peut apparaître dans plusieurs fichiers, et une base accumulée depuis 2009 peut contenir de nombreux comptes anciens ou inactifs. Le site de veille FrenchBreaches juge la revendication « crédible », mais la classe comme non confirmée. Le prix demandé n'est pas connu, et le vendeur n'est identifié que par un pseudonyme, ChimeraZ.

Le scénario rappelle celui d'octobre, quand un pirate publiait gratuitement 195 000 fiches de clients qu'il attribuait à King Jouet. Les vendeurs de jouets réalisent une grande partie de leurs ventes en fin d'année, et leurs historiques de commandes intéressent les escrocs.

Vous avez commandé sur ce site ? Les bons réflexes

Même non confirmée, la revendication justifie quelques précautions : des commandes et des adresses de livraison réelles permettent de rédiger de faux messages très crédibles.

• Si vous utilisiez le mot de passe de ce site ailleurs, changez-le sur ces autres services : selon la méthode de hachage employée, un mot de passe faible peut être retrouvé.
• Méfiez-vous des SMS et e-mails de livraison, de remboursement ou de points de fidélité à utiliser, surtout s'ils citent une commande réelle.
• Ne donnez jamais vos coordonnées bancaires à la suite d'un message non sollicité, et vérifiez en vous connectant directement au site.
• En cas de doute, cybermalveillance.gouv.fr propose une assistance aux victimes.

La question reste entière : Caverne des Jouets a-t-elle subi une intrusion, et depuis quand ? Seule une réaction de l'entreprise, ou un message à ses clients, dira si les volumes annoncés correspondent à la réalité.