Les données personnelles de centaines de milliers de clients du site français HomeMaison sont proposées à la vente par un cybercriminel. Le 12 novembre 2026, le hacker Chimera a annoncé détenir une base de 36,4 millions d’enregistrements, comprenant environ 1,6 million d’adresses email et 1,3 million de numéros de téléphone. Plus inquiétant, 330 000 comptes clients comporteraient des mots de passe conservés en clair. Cyberattaque.org s’est procuré plusieurs échantillons et confirme la présence de données personnelles, d’historiques de commandes, d’informations relatives aux paiements et de mots de passe directement lisibles.
Fondé en 2006, HomeMaison est un site français de commerce électronique spécialisé dans les rideaux, voilages, stores et accessoires de décoration intérieure. Exploitée par la société Home Maison SAS, dont le siège se trouve à Lyon, l’entreprise commercialise également du linge de maison, des luminaires et du mobilier. Elle dispose d’un atelier de confection en France et propose des produits sur mesure aux particuliers comme aux professionnels.
Chimera met en vente 10,4 Go de données couvrant près de vingt ans
Dans une publication datée du 12 novembre 2026 à 18 h 59, le hacker Chimera, également connu sous le pseudonyme ChimeraZ, annonce la mise en vente d’une base attribuée à homemaison.com.
Le cybercriminel affirme avoir récupéré des informations couvrant la période 2008 à 2026, réparties dans 471 fichiers CSV et JSONL.
Selon sa revendication, l’ensemble représenterait :
- 36 418 034 lignes réparties dans différents fichiers ;
- Environ 1,6 million d’adresses email ;
- Environ 1,3 million de numéros de téléphone ;
- 330 000 fiches clients avec des mots de passe en clair ;
- 471 fichiers pour un volume total de 10,4 Go.
Ces volumes correspondent aux déclarations du pirate et ne constituent pas un nombre de victimes distinctes vérifié. Un même client peut apparaître dans plusieurs fichiers, notamment ceux des comptes, commandes, factures, adresses et transactions.
Les fichiers présentés par Chimera comprennent notamment des bases historiques de clients, des données issues du système de commerce électronique Sylius et des informations relatives aux opérations de paiement.
Notre analyse confirme des mots de passe stockés sans protection
Cyberattaque.org s’est procuré et a analysé des échantillons répartis dans 14 fichiers, représentant près de 2 000 enregistrements. Les résultats confirment plusieurs catégories d’informations particulièrement sensibles.
Dans le fichier historique des clients, les 139 fiches examinées contiennent toutes un mot de passe directement lisible, dans un champ intitulé « client_password ».
Les résultats sont particulièrement préoccupants :
- 139 mots de passe en clair dans les 139 fiches examinées ;
- 115 mots de passe comportant huit caractères ou moins ;
- 137 valeurs de mots de passe distinctes ;
- Des informations personnelles directement associées aux identifiants de connexion.
Contrairement à des mots de passe protégés par un algorithme de hachage, ces informations peuvent être utilisées immédiatement par une personne qui les récupère.
Le danger dépasse le seul site HomeMaison. Les clients ayant réutilisé le même mot de passe sur leur messagerie, leurs réseaux sociaux ou d’autres boutiques pourraient être exposés à des tentatives de connexion frauduleuses.
La validité actuelle de ces anciens mots de passe n’a cependant pas été établie.
Une découverte troublante entre l’ancienne base et les nouveaux comptes clients
L’analyse révèle un deuxième élément particulièrement intéressant : les fichiers semblent provenir de deux générations différentes du système de commerce électronique HomeMaison.
Les anciennes fiches clients conservent des mots de passe en clair. En revanche, les comptes présents dans le fichier « sylius_shop_user » utilisent des empreintes de mots de passe au format Argon2i, un algorithme conçu pour leur protection.
Sur les 139 comptes Sylius examinés, les 139 mots de passe sont protégés par Argon2i.
Mais le rapprochement des fichiers révèle une correspondance importante : 138 adresses email apparaissent à la fois dans l’ancienne base contenant des mots de passe en clair et dans les fichiers de comptes Sylius.
Cette découverte suggère que des informations historiques ont été conservées parallèlement à un système d’authentification plus récent.
La présence d’un algorithme de protection moderne dans les comptes actuels ne suffit donc pas à écarter les risques liés à la conservation d’anciens mots de passe. Rien ne permet toutefois de déterminer si les anciennes données étaient toujours présentes dans un environnement de production ou provenaient d’une sauvegarde.
Adresses, factures et historiques de commandes parmi les informations diffusées
Les autres échantillons confirment que la fuite dépasse largement les informations d’authentification.
Les fichiers examinés comprennent des informations détaillées sur les clients et leurs opérations commerciales. Plusieurs catégories de données ont été identifiées :
- Noms et prénoms des clients ;
- Adresses email et numéros de téléphone ;
- Adresses postales de facturation et de livraison ;
- Dates de naissance lorsqu’elles sont renseignées ;
- Références et dates des commandes ;
- Produits achetés, montants et modes de livraison ;
- Historiques de paiements et d’expéditions ;
- Commentaires et échanges avec le service client.
Certains fichiers contiennent également des journaux retraçant la création ou la modification des adresses clients, ainsi que des informations sur les commandes et leur traitement.
Les données historiques remontent à 2008, tandis que certaines fiches du système Sylius présentent des modifications datées jusqu’en octobre 2026.
Ces informations sont cohérentes avec l’existence d’une base réunissant des données anciennes et beaucoup plus récentes. Elles ne permettent cependant pas de déterminer à quelle date l’extraction a été réalisée.
Des informations sur les cartes bancaires et les transactions également présentes
Un autre aspect sensible concerne les fichiers relatifs aux paiements électroniques.
Chimera présente notamment des fichiers contenant des transactions acceptées et refusées. Cyberattaque.org a pu examiner 140 enregistrements de paiements refusés.
Les informations observées comprennent notamment :
- Noms des titulaires de cartes bancaires ;
- Adresses email associées aux transactions ;
- Numéros de cartes partiellement masqués ;
- Dates d’expiration des cartes ;
- Noms des établissements bancaires émetteurs ;
- Montants, dates et statuts des paiements ;
- Adresses IP utilisées lors des transactions ;
- Références et jetons techniques associés aux opérations.
Aucun numéro complet de carte bancaire ni cryptogramme de sécurité n’a été identifié dans les extraits examinés. Les numéros de cartes apparaissent masqués, ce qui limite les possibilités de réutilisation directe de ces seules informations.
Les jetons de paiement présents dans certains enregistrements n’ont pas été testés. Il n’est donc pas établi qu’ils permettent encore une opération quelconque.
La présence d’informations relatives aux cartes bancaires constitue néanmoins une exposition supplémentaire de données financières et transactionnelles.
Comment une base aussi importante a-t-elle pu être récupérée ?
La structure des fichiers constitue un indice intéressant sur l’origine possible de la compromission.
Les données semblent provenir de plusieurs ensembles liés au fonctionnement de la boutique, notamment une ancienne base commerciale et un environnement Sylius plus récent.
Une compromission d’accès à la base de données, la récupération d’une sauvegarde ou l’exploitation d’un compte disposant de privilèges élevés pourraient expliquer un export aussi étendu.
Une autre possibilité serait une exposition de plusieurs archives historiques conservées dans un environnement accessible à des tiers non autorisés.
Aucune de ces hypothèses n’est toutefois confirmée. Le pirate ne fournit pas d’explication technique permettant de déterminer comment il aurait récupéré les informations.
La présence de données anciennes et récentes ne démontre pas non plus que la boutique actuellement en ligne présente toujours une vulnérabilité exploitable.
Des risques de piratage de comptes et de fausses commandes
La combinaison des mots de passe en clair, des coordonnées personnelles et des historiques de commandes pourrait permettre plusieurs formes de fraude.
Les clients ayant réutilisé leurs anciens mots de passe pourraient être victimes de tentatives de connexion frauduleuses sur d’autres services.
Les informations commerciales pourraient également être exploitées dans des messages imitant HomeMaison, notamment pour annoncer une fausse livraison, un problème de commande ou un remboursement fictif.
La connaissance du véritable produit acheté, du montant réglé et de l’adresse de livraison pourrait rendre ces sollicitations particulièrement crédibles.
Les données relatives aux paiements pourraient également être utilisées pour personnaliser certaines tentatives d’usurpation de l’identité d’un service client ou d’un établissement bancaire.
À ce stade, aucune utilisation frauduleuse des informations revendiquées n’a été établie.
Une fuite mise en vente sans confirmation officielle de HomeMaison
Au 12 novembre 2026, aucune communication publique de HomeMaison reconnaissant cette revendication n’a été identifiée. L’entreprise n’a pas précisé si une intrusion a été détectée dans ses systèmes informatiques ou si des données personnelles ont été récupérées sans autorisation.
Les échantillons analysés par Cyberattaque.org confirment néanmoins la circulation de données structurées attribuées à HomeMaison, comprenant des identités, des commandes, des informations de paiement et des mots de passe conservés en clair.
Le volume total de 36,4 millions de lignes, les 1,6 million d’adresses email et les 330 000 mots de passe en clair demeurent les chiffres revendiqués par Chimera.
Cette affaire soulève une question particulièrement importante sur la conservation des anciennes données clients. Même lorsqu’une entreprise modernise son système d’authentification, la présence de copies historiques contenant des mots de passe non protégés peut continuer de représenter un risque majeur.
Source originale : Cyberattaque.org.
