Un pirate publie gratuitement 195 000 fiches de clients qu'il attribue à King Jouet

Le 20 octobre, un pirate qui se fait appeler Onyxx a mis en libre accès, sur un forum cybercriminel, un fichier présenté comme la base clients de King Jouet. Il ne le vend pas : il le donne. Selon l'observatoire Cyberattaque.org, qui l'a analysé, le fichier compte 195 714 fiches de clients.

King Jouet n'a pas confirmé la fuite à ce stade, d'après Cyberattaque.org et Fuites Infos, qui ont relayé la publication. Aucune communication de l'enseigne n'était visible lorsque le fichier a circulé.

Que contient le fichier ?

D'après les deux sites, chaque fiche comprend un nom et un prénom, une adresse e-mail, souvent un numéro de téléphone, un code postal, une ville et un identifiant client interne. Il n'y a ni mot de passe, ni coordonnées bancaires, ni adresse postale complète. Cyberattaque.org compte 195 183 adresses e-mail distinctes et environ 177 000 fiches avec un téléphone. Selon les indicatifs, la majorité des clients sont en France (133 283 fiches), devant la Suisse, la Belgique et le Luxembourg.

Un fichier de fiches n'est pas une liste de victimes confirmées, et son origine reste à établir. Les métadonnées du fichier citent un sous-domaine de King Jouet et un logiciel de gestion, avec une extraction datée du 20 octobre en fin de journée. Mais Cyberattaque.org rappelle que ces informations ont été écrites par l'auteur du fichier lui-même : elles ne prouvent pas, à elles seules, une intrusion. Selon Fuites Infos, le pirate affirme avoir extrait les données le jour même, ce qui n'est pas vérifié.

L'enseigne avait déjà contesté l'ampleur d'une fuite en 2025

King Jouet a déjà vécu un épisode semblable. En février 2025, un pirate disait vendre plus de 4 millions de comptes clients. L'enseigne avait reconnu une cyberattaque mais contesté son ampleur : selon le registre Ostraca, elle évoquait moins de 25 000 clients concernés, une attaque visant l'interface de suivi des commandes en ligne et limitée à deux magasins, et une déclaration à la CNIL. Rien ne permet aujourd'hui de relier les deux affaires.

Les bons réflexes si vous êtes client

Sans mot de passe ni carte bancaire, le fichier sert surtout à rendre crédibles de faux messages : un nom, un numéro et la certitude d'avoir acheté chez un vendeur de jouets suffisent pour un faux SMS de colis bloqué ou un faux remboursement. La période des fêtes s'y prête.

• Méfiez-vous des e-mails, SMS ou appels qui se réclament de King Jouet ou d'un transporteur et réclament un paiement, même minime.
• Ne cliquez pas sur les liens reçus : passez par le site ou l'application officiels.
• Ne communiquez jamais un code reçu par SMS, un mot de passe ou vos coordonnées bancaires.
• En cas de doute ou d'arnaque, le dispositif public cybermalveillance.gouv.fr aide gratuitement les victimes.

Les observatoires français recensent ce type de publication presque chaque jour, comme récemment pour les salles d'escalade Climb Up, où la fuite avait fini par être confirmée. Pour King Jouet, la réponse de l'enseigne dira si le fichier vient bien de ses systèmes, et si la CNIL et les clients doivent être prévenus.