Les informations personnelles de milliers de clients de Brico Dépôt pourraient avoir été compromises à travers son service de location de camions. Le 2 novembre 2026, le hacker Venus1337 a annoncé la diffusion d’une base contenant 57 109 enregistrements attribués au site location-camion.bricodepot.fr. Le pirate affirme avoir exploité une faille de sécurité permettant de récupérer les factures des utilisateurs.
Brico Dépôt est une enseigne française de bricolage appartenant au groupe britannique Kingfisher. Elle propose notamment un service de location de véhicules utilitaires permettant aux particuliers et aux professionnels de transporter leurs achats. Les réservations peuvent être effectuées en ligne ou depuis une application mobile dédiée.
Une faille IDOR aurait permis d’accéder aux factures
Dans sa publication du 2 novembre 2026, Venus1337 affirme avoir découvert une vulnérabilité de type IDOR (Insecure Direct Object Reference) sur le service de location de camions de l’enseigne.
Cette catégorie de faille apparaît lorsqu’une application ne vérifie pas correctement les autorisations d’accès à certaines ressources. Un utilisateur malveillant peut alors potentiellement consulter des documents appartenant à d’autres clients en manipulant leurs identifiants.
Le pirate affirme avoir utilisé cette faiblesse pour récupérer l’ensemble des factures accessibles. La méthode revendiquée n’a cependant pas été vérifiée indépendamment.
Noms, adresses et détails des réservations potentiellement exposés
Selon Venus1337, les fichiers diffusés contiennent notamment :
- Les noms et prénoms des clients ;
- Les adresses postales personnelles ;
- Les adresses email et numéros de téléphone ;
- Les numéros de réservation ;
- Les références des factures ;
- D’autres informations liées à la location des véhicules.
Le chiffre de 57 109 correspond au volume d’enregistrements revendiqué, et non nécessairement à autant de clients distincts. Une même personne peut avoir effectué plusieurs locations et disposer de plusieurs factures.
Le service de location nécessite également la vérification de documents d’identité et du permis de conduire. Rien ne permet toutefois d’affirmer que ces documents figurent dans les données diffusées.
Des informations utilisables pour des escroqueries ciblées
L’association des identités, des coordonnées et des références de facturation pourrait faciliter des tentatives d’hameçonnage particulièrement crédibles.
Des cybercriminels pourraient notamment se faire passer pour le service de location Brico Dépôt, évoquer une réservation passée ou réclamer le règlement de faux frais supplémentaires.
Les adresses personnelles constituent également une information sensible, particulièrement lorsqu’elles sont rapprochées de l’historique des locations et des coordonnées des clients.
Une revendication qui reste à confirmer
À ce stade, aucune confirmation officielle de Brico Dépôt concernant cette revendication n’a été identifiée. L’étendue réelle des données diffusées, leur période de collecte et l’état de sécurisation du service restent à établir.
L’analyse des fichiers annoncés par Venus1337 doit permettre de préciser la nature des informations concernées et de vérifier le volume revendiqué.
Si l’exploitation d’une faille IDOR est confirmée, cet incident illustrerait les conséquences d’un contrôle d’accès défaillant sur un service de facturation en ligne. Une vulnérabilité de ce type peut suffire à exposer des milliers de documents sans nécessiter la compromission préalable des comptes clients.
Source originale : Cyberattaque.org.
