Couleur CE, plateforme proposant notamment des services de billetterie aux comités sociaux et économiques, est concernée par un incident de sécurité ayant entraîné une fuite de données personnelles sur sa partie dédiée aux billets de cinéma.
Dans un email révélé par Fuites Infos, dont Cyberattaque.org s’est procuré une copie, le Comité social et économique de CEGI Alfa informe ses bénéficiaires que certaines informations liées à leurs commandes de billets ont été exposées.
Les données concernées comprennent les noms et prénoms, références et dates de commande ainsi que les codes des billets de cinéma, avec une information permettant de savoir si ces derniers ont déjà été utilisés ou non.
Des codes de billets de cinéma figurent dans la fuite
L’incident ne concerne pas uniquement des données d’identité. Le message envoyé aux bénéficiaires indique explicitement que les codes des billets de cinéma font partie des informations exposées.
La donnée associée permet également de savoir si le billet a déjà été utilisé ou s’il est encore disponible. Ce point est particulièrement sensible pour les billets toujours valides : selon le fonctionnement de la billetterie et les contrôles réalisés à l’entrée des salles, un code encore inutilisé pourrait potentiellement faire l’objet d’une utilisation frauduleuse.
Le CSE de CEGI Alfa demande d’ailleurs aux personnes rencontrant un problème avec leurs billets de contacter directement Couleur CE.
Noms et historique des commandes également concernés
La fuite comprend également les noms et prénoms des bénéficiaires, ainsi que les références et dates de leurs commandes.
Ces informations permettent donc de relier directement une personne à un achat réalisé via la billetterie cinéma de son comité d’entreprise.
Le message consulté par Cyberattaque.org ne mentionne en revanche ni mot de passe, ni donnée bancaire, ni adresse email ou numéro de téléphone parmi les informations concernées par cet incident.
Le nombre de personnes concernées n’est pas encore connu
L’email envoyé le 15 octobre 2026 par le CSE de CEGI Alfa ne précise pas combien de bénéficiaires sont touchés.
Il est également impossible, à ce stade, de déterminer si l’incident concerne uniquement des salariés liés à CEGI Alfa ou si d’autres entreprises et CSE utilisant la billetterie Couleur CE sont également affectés.
La formulation utilisée montre cependant que le problème se situe bien du côté de la plateforme Couleur CE pour sa partie billetterie cinéma, et non dans les systèmes propres du CSE qui relaie l’information à ses salariés.
Couleur CE doit contacter directement les victimes
Le CSE indique que Couleur CE prendra directement contact avec les personnes concernées afin de leur communiquer les informations relatives à l’incident.
Cette notification individuelle devrait notamment permettre aux utilisateurs de savoir si leurs commandes figurent dans les données compromises et quelles mesures ont été prises concernant les codes de billets éventuellement encore valides.
Pour les problèmes directement liés aux billets, le message demande également aux bénéficiaires de se rapprocher de Couleur CE plutôt que du CSE.
Un risque concret pour les billets encore valides
Le risque le plus immédiat concerne les codes de billets qui n’ont pas encore été utilisés.
Si ces codes suffisent à générer ou présenter un titre d’accès à une séance sans autre contrôle, une personne disposant des données pourrait tenter de les utiliser avant leur véritable propriétaire.
Le message transmis aux bénéficiaires ne précise toutefois pas si Couleur CE a procédé à l’annulation, au remplacement ou à la régénération des codes concernés. Il n’est donc pas possible de déterminer à ce stade si les billets exposés restent exploitables.
L’origine de l’incident reste inconnue
La communication ne donne aucune précision sur la manière dont les informations ont été récupérées.
Impossible donc de savoir si l’incident résulte d’une intrusion dans les systèmes de Couleur CE, d’un compte compromis, d’une vulnérabilité sur la plateforme ou d’un problème chez un prestataire utilisé pour la billetterie.
La date de l’accès malveillant ou de l’extraction des données n’est pas non plus indiquée dans l’email.
Une fuite désormais portée à la connaissance des bénéficiaires
L’incident est aujourd’hui directement porté à la connaissance des utilisateurs concernés par leur CSE. Les éléments disponibles confirment l’exposition de données nominatives et de codes associés à des billets de cinéma.
Le nombre total de personnes touchées, l’étendue de l’incident à d’autres entreprises et le sort des billets encore inutilisés restent en revanche inconnus.
La prochaine communication de Couleur CE aux personnes concernées devrait permettre de préciser le périmètre réel de cette fuite et les mesures prises pour empêcher une éventuelle utilisation frauduleuse des codes exposés.
Source originale : Cyberattaque.org.
Image d’illustration : NOIRLab HQ Server Racks (6V6A0402-CC).jpg — NOIRLab/NSF/AURA/T. Slovinský — CC BY 4.0, via Wikimedia Commons.
