King Jouet fait l’objet d’une importante fuite de données clients. Un hacker utilisant le pseudonyme Onyxx a diffusé gratuitement un fichier présenté comme provenant de l’environnement informatique de l’enseigne française de jeux et jouets.
L’attaquant annonce 195 715 enregistrements. Cyberattaque.org s’est procuré le fichier complet et l’a analysé : il contient en réalité 195 714 fiches clients, auxquelles s’ajoute la ligne d’en-tête du fichier Excel.
Les données comprennent notamment les noms des clients, adresses email, numéros de téléphone, villes, codes postaux et un identifiant interne unique associé à chaque fiche.
195 183 adresses email différentes dans le fichier
L’analyse réalisée par Cyberattaque.org montre que la base est particulièrement dense. Sur les 195 714 fiches, 195 697 disposent d’une adresse email, soit pratiquement la totalité du fichier.
Cyberattaque.org dénombre 195 183 adresses email distinctes. Les doublons sont donc très limités, ce qui permet de considérer que la fuite concerne près de 195 000 comptes ou contacts différents, même si une même personne peut évidemment disposer de plusieurs fiches.
Les 195 714 identifiants clients internes sont également tous différents.
177 030 fiches contiennent également un téléphone
Le téléphone est présent dans 177 030 enregistrements. Après normalisation, Cyberattaque.org retrouve environ 174 858 numéros distincts.
Les villes et codes postaux sont quant à eux renseignés dans 190 688 fiches. La base ne contient toutefois pas d’adresse de rue complète.
Elle ne contient pas non plus, dans les colonnes analysées, de mot de passe, hash de mot de passe, date de naissance, historique détaillé de commandes ou coordonnées bancaires.
France, Suisse, Belgique et Luxembourg apparaissent massivement
La géographie du fichier renforce sa cohérence avec l’activité de King Jouet. Une colonne pays a été reconstruite à partir des indicatifs téléphoniques dans l’archive analysée.
On retrouve ainsi 133 283 numéros français, 22 491 suisses, 18 545 belges et 2 231 luxembourgeois. Quelques centaines de numéros provenant d’autres pays apparaissent également.
Cette répartition correspond précisément aux principaux marchés de King Jouet, qui exploite un réseau de plus de 300 magasins en France, en Suisse, en Belgique et au Luxembourg.
Le fichier pointe vers un environnement Altazion de King Jouet
L’élément le plus intéressant se trouve dans un second onglet du fichier diffusé. Celui-ci contient des métadonnées décrivant la provenance supposée de l’extraction.
La source indiquée est une adresse située sur le domaine de King Jouet, kjext.king-jouet.com, et fait explicitement référence à Altazion Office et à un module baptisé « Jouet Online ».
L’extraction y est horodatée au 20 octobre 2026 à 18 h 35 UTC, soit le jour même de la publication de la fuite.
Ces métadonnées ont été intégrées au fichier par son auteur et ne constituent donc pas, à elles seules, une confirmation de King Jouet. Plusieurs recherches publiques viennent toutefois donner du poids à cette piste.
Altazion travaille bien avec King Jouet depuis des années
Le lien entre King Jouet et Altazion est public et ancien. Altazion indiquait déjà en 2016 travailler avec l’enseigne sur sa stratégie de commerce unifié et sa e-réservation, dans le cadre d’une collaboration débutée plusieurs années auparavant.
Plus important encore, Altazion Services présente toujours King Jouet comme l’un de ses clients en 2026 et affirme accompagner ses équipes sur « l’ensemble de l’écosystème e-commerce », notamment pour l’intégration et l’implémentation des solutions Altazion, leur maintenance et les bornes utilisées en magasin.
La documentation officielle d’Altazion décrit précisément Office comme son interface de gestion et de back-office, capable notamment de gérer les clients, l’activité commerciale et l’historique associé.
197 482 lignes auraient été récupérées avant suppression des doublons
L’onglet de métadonnées va encore plus loin. Il affirme que 197 482 lignes brutes auraient initialement été récupérées depuis le système avant que 1 768 doublons soient fusionnés, aboutissant aux 195 714 fiches présentes dans l’archive.
Les chiffres sont mathématiquement cohérents avec le contenu du fichier analysé.
Le document précise surtout que l’interface utilisée aurait limité chaque recherche à 50 résultats. Certaines zones géographiques très représentées n’auraient donc été récupérées que partiellement.
Si cette indication est authentique, les 195 714 fiches ne représenteraient pas nécessairement l’intégralité de la base clients accessible.
Un back-office e-commerce plutôt que le nouvel ERP central ?
La mention « ERP Altazion » présente dans les métadonnées doit cependant être nuancée. King Jouet a annoncé en 2023 le déploiement de Microsoft Dynamics pour centraliser une partie de ses flux et de son système de gestion.
Altazion reste parallèlement utilisé dans l’écosystème e-commerce de King Jouet. La fuite semble donc davantage pointer vers le back-office commercial et client connecté au site et aux magasins que vers une compromission démontrée de l’ensemble du système Microsoft Dynamics du groupe.
À ce stade, rien ne permet non plus d’affirmer si l’accès résulte d’une vulnérabilité, d’un défaut de contrôle d’accès, d’identifiants compromis ou d’une autre faiblesse technique.
King Jouet confirme officiellement collecter ce type de données
Dans sa politique de confidentialité, King Jouet indique collecter pour ses activités commerciales des informations comme le nom, le prénom, l’adresse email, le numéro de téléphone, les coordonnées postales et l’historique des commandes.
L’enseigne précise également que ces données peuvent être traitées par ses partenaires et sous-traitants pour la gestion du commerce en ligne et des commandes.
Les coordonnées bancaires constituent en revanche un cas différent : King Jouet indique que celles-ci sont directement gérées par son prestataire de paiement Adyen et qu’elles ne sont pas conservées par l’enseigne. Aucune donnée bancaire n’apparaît dans le fichier actuellement diffusé.
Faux colis, fidélité et commandes : un fichier idéal pour le phishing
Le risque le plus immédiat est le phishing ciblé. Une personne disposant simultanément du véritable nom d’un client, de son email, de son téléphone et de sa ville peut fabriquer des messages bien plus crédibles qu’une campagne envoyée au hasard.
À l’approche de Noël, période particulièrement importante pour une enseigne de jouets, plusieurs scénarios sont évidents : fausse commande bloquée, problème de livraison, remboursement, colis à reprogrammer, cadeau à retirer ou faux avantage lié au programme King Premium.
King Jouet propose justement un programme de fidélité baptisé King Premium, utilisable en magasin comme en ligne. Un faux message évoquant une cagnotte ou un avantage fidélité pourrait donc paraître particulièrement crédible pour un véritable client.
Aucune confirmation publique de King Jouet pour le moment
À ce stade, Cyberattaque.org n’a identifié aucune confirmation publique de King Jouet concernant cette fuite.
Le fichier obtenu par Cyberattaque.org apporte néanmoins plusieurs éléments particulièrement cohérents : près de 196 000 identifiants clients uniques, presque autant d’emails distincts, une répartition géographique correspondant aux marchés de l’enseigne et surtout des métadonnées désignant un environnement Altazion alors que le lien commercial et technique entre Altazion et King Jouet est publiquement documenté.
La question principale n’est donc plus seulement celle de l’authenticité apparente des données, mais celle de leur mode d’extraction et du périmètre réellement accessible. Les métadonnées intégrées dans le fichier suggèrent même que les 195 714 fiches diffusées pourraient ne représenter qu’une partie de ce qui était consultable.
Source originale : Cyberattaque.org.
Image d’illustration : Centaur server room (2293424530).jpg — VIA Gallery from Hsintien, Taiwan — CC BY 2.0, via Wikimedia Commons.
