European DYI chain ManoMano data breach impacts 38 million customers

ManoMano victime d’une fuite de données massives

La chaîne européenne de magasins de bricolage ManoMano a alerté ses clients d’une violation de données ayant affecté environ 38 millions d’utilisateurs. L’incident, survenu via une compromission d’un fournisseur de services tiers, a été découvert en janvier 2026. Un individu se présentant sous le nom d’“Indra” a revendiqué l’attaque sur un forum de pirates informatiques, affirmant détenir des informations relatives à 37,8 millions de comptes clients, ainsi que des tickets et pièces jointes du service client. Des rapports non confirmés suggèrent que le prestataire compromis était un service de support client basé à Tunis, lui-même victime d’une brèche au niveau de la plateforme Zendesk.

Points Clés :

• Victimes : Environ 38 millions de clients de ManoMano.
• Cause : Compromission d’un fournisseur de services tiers gérant le support client.
• Nature des données divulguées : Noms complets, adresses e-mail, numéros de téléphone, et communications du service client.
• Données non affectées : Les mots de passe des comptes clients n’ont pas été consultés, et aucune modification de données n’a été effectuée sur les systèmes de ManoMano.
• Action de ManoMano : L’entreprise a désactivé les accès non autorisés, révoqué l’accès du sous-traitant, renforcé les contrôles d’accès et la surveillance. Elle a également informé les autorités compétentes (CNIL, ANSSI) et les clients concernés.

Vulnérabilités :

Aucune vulnérabilité spécifique avec un identifiant CVE n’est mentionnée dans l’article. L’incident découle de la compromission d’un fournisseur externe, soulignant un risque lié à la gestion de la chaîne d’approvisionnement des données.

Recommandations :

• Pour ManoMano :
  • Sécuriser immédiatement l’environnement compromis.
  • Révoquer l’accès des sous-traitants concernés.
  • Renforcer les contrôles d’accès et la surveillance.
  • Notifier les autorités et les clients impactés.
• Pour les clients :
  • Rester vigilant face aux tentatives de phishing et d’ingénierie sociale.
  • Vérifier l’identité des expéditeurs dans les communications reçues.
  • Surveiller les comptes bancaires pour détecter d’éventuelles transactions frauduleuses.
  • Éviter de cliquer sur des liens suspects ou de télécharger des pièces jointes non sollicitées.

Source