Incognito.fr, un laboratoire français spécialisé dans le développement et l’impression de photographies, est visé par une fuite de données révélée ce vendredi 30 octobre 2026. Un hacker utilisant le pseudonyme ChimeraZ a diffusé une base de données présentée comme provenant de l’entreprise. Les fichiers contiennent des noms, des adresses postales et des références de commandes couvrant près de 17 années d’activité.
Cyberattaque.org s’est procuré et a analysé l’archive diffusée. Elle renferme exactement 21 352 enregistrements de commandes, associés à 14 996 combinaisons distinctes de noms et d’adresses. Les informations permettent notamment d’identifier des destinataires de tirages photographiques et leurs coordonnées de livraison.
Fondé en 1992 et installé à Saint-Martin-de-Ré, en Charente-Maritime, Incognito est un laboratoire photographique proposant des tirages, agrandissements, impressions sur toile et produits photo personnalisés. L’entreprise travaille avec des particuliers et des photographes professionnels, notamment pour des photographies de mariage, des portraits et des photos scolaires. Elle propose également l’expédition directe des commandes aux clients des photographes.
21 352 commandes et près de 15 000 coordonnées distinctes
Le hacker ChimeraZ a publié sa revendication le 30 octobre 2026 à 11 h 31, annonçant la diffusion d’une base de 21 353 lignes concernant environ 14 996 personnes.
L’archive examinée par Cyberattaque.org contient un unique fichier intitulé commandes.csv, d’environ 2,16 Mo.
Notre analyse a permis de vérifier les chiffres suivants :
- 21 352 enregistrements de commandes, auxquels s’ajoute la ligne d’en-tête du fichier ;
- 21 352 identifiants de commandes distincts ;
- 14 996 valeurs distinctes non vides associant un nom et une adresse ;
- 21 348 enregistrements contenant des informations de destinataire ;
- 20 306 lignes comportant une séquence de cinq chiffres compatible avec un code postal ;
- Des références de commandes s’étendant d’octobre 2009 à octobre 2026.
Le chiffre de 14 996 correspond aux combinaisons distinctes de noms et d’adresses relevées dans le fichier. Il ne permet pas d’établir avec certitude le nombre de personnes physiques concernées, une même personne pouvant avoir utilisé plusieurs adresses ou des variantes de son identité.
Des noms complets et des adresses personnelles dans les commandes
Contrairement à une fuite classique de comptes clients, le fichier diffusé est organisé autour de trois colonnes : « id », « reference » et « nom_avec_adresse ».
Cette dernière colonne constitue la principale source de données personnelles. Elle rassemble, dans un même champ, les informations utilisées pour identifier le destinataire d’une commande.
Cyberattaque.org a notamment retrouvé :
- Les noms et prénoms des destinataires ;
- Les civilités, notamment Monsieur, Madame ou Mademoiselle ;
- Les adresses postales, comprenant numéros et noms de voies ;
- Les codes postaux et communes ;
- Les pays de destination lorsqu’ils sont renseignés ;
- Les identifiants et références de commandes associés à ces coordonnées.
Les enregistrements contiennent principalement des adresses situées en France, mais certaines informations de destination peuvent également concerner l’étranger.
Plusieurs coordonnées reviennent à de nombreuses reprises dans les fichiers, ce qui suggère des commandes répétées ou plusieurs livraisons vers une même adresse.
En revanche, l’archive examinée ne contient pas de fichiers photographiques, de mots de passe, de coordonnées bancaires ou de détails sur les montants payés. Les données portent essentiellement sur l’identification et la livraison des commandes.
Un historique de commandes remontant jusqu’en 2009
L’un des éléments les plus remarquables concerne l’ancienneté des informations.
Les références présentes dans le fichier comportent des informations de date. Leur analyse permet de retrouver des commandes datées du 25 octobre 2009 jusqu’au 25 octobre 2026, soit presque 17 années.
Les données couvrent notamment :
- 3 188 commandes datées de 2012 ;
- 2 431 commandes datées de 2013 ;
- 1 718 commandes datées de 2021 ;
- 1 578 commandes datées de 2022 ;
- 561 commandes datées de 2025 ;
- 609 commandes datées de 2026, dont 43 pour le mois d’octobre.
Deux formats de références apparaissent dans les fichiers, suggérant une évolution du système d’enregistrement des commandes au fil des années.
La présence de données aussi récentes que le 25 octobre 2026 est particulièrement notable, puisque la publication du hacker est intervenue seulement cinq jours plus tard.
Ces dates sont déduites des références de commandes. Elles ne permettent pas de déterminer la date exacte à laquelle les informations ont été récupérées par le pirate.
Des photographes professionnels et leurs clients également potentiellement concernés
La nature de l’activité d’Incognito.fr rend cette fuite particulière. L’entreprise ne travaille pas uniquement avec des particuliers commandant directement leurs tirages photographiques.
Elle propose également des prestations destinées aux photographes professionnels, avec la possibilité de faire expédier les tirages directement à leurs propres clients, notamment en marque blanche.
Dans ce fonctionnement, le destinataire d’un colis n’est pas nécessairement la personne ayant créé un compte ou effectué le paiement sur le site.
Certaines personnes présentes dans la fuite pourraient donc être des destinataires de commandes passées par des photographes professionnels, et non des clients directs d’Incognito.fr.
Cette distinction est importante pour mesurer le périmètre de l’incident. Le fichier ne contient aucun champ permettant d’identifier clairement le titulaire du compte ayant passé chaque commande.
Comment un historique de 17 ans a-t-il pu être récupéré ?
Le format du document suggère une extraction de données depuis un système de gestion des commandes ou une base historique associée au site de vente en ligne.
Une telle extraction peut notamment résulter d’un accès frauduleux à une interface d’administration, de la compromission d’un compte disposant de droits d’export ou de l’exploitation d’une vulnérabilité dans une application.
L’exposition d’une sauvegarde ou d’un fichier précédemment exporté constitue également un scénario envisageable.
Aucune méthode d’intrusion n’a cependant été démontrée. La possession d’un fichier de commandes ne prouve pas, à elle seule, que les systèmes informatiques actuellement utilisés par Incognito.fr ont été intégralement compromis.
Le maintien d’un historique remontant à 2009 soulève néanmoins des questions sur la conservation des données personnelles. La durée appropriée dépend notamment des obligations comptables, contractuelles et légales, ainsi que des finalités de chaque traitement.
Des risques de faux messages de livraison et d’usurpation d’identité
La diffusion de noms et d’adresses postales peut présenter plusieurs risques pour les personnes concernées.
Le premier concerne l’utilisation frauduleuse des informations de livraison. Un cybercriminel pourrait exploiter le nom d’un destinataire et son adresse pour préparer de faux messages concernant un colis, une commande ou un problème d’expédition.
La connaissance d’une référence de commande pourrait également donner davantage de crédibilité à une tentative d’escroquerie.
Les personnes concernées pourraient notamment être ciblées par :
- De faux avis de livraison demandant un règlement supplémentaire ;
- Des messages frauduleux usurpant l’identité du laboratoire photographique ;
- Des tentatives d’obtention d’informations complémentaires en utilisant des coordonnées déjà connues ;
- Du démarchage abusif reposant sur des informations personnelles récupérées ;
- Des tentatives d’usurpation d’identité utilisant le nom et l’adresse d’une personne.
La présence de références de commandes anciennes limite certains scénarios d’escroquerie, mais n’annule pas les risques liés à la divulgation de coordonnées personnelles, notamment lorsque les personnes résident toujours à la même adresse.
Incognito.fr n’a pas confirmé publiquement cette fuite
Au 30 octobre 2026, Cyberattaque.org n’a pas identifié de communication publique d’Incognito.fr confirmant une cyberattaque ou une fuite de données.
L’archive diffusée par ChimeraZ contient néanmoins un ensemble cohérent d’enregistrements de commandes, avec des références structurées sur plusieurs années et de nombreuses coordonnées de destinataires.
Il reste à déterminer l’origine de ce fichier, la date de son extraction et l’authenticité de l’ensemble des coordonnées. L’analyse ne permet pas non plus d’affirmer que des photographies ou des informations de paiement ont été récupérées.
Cette fuite revendiquée se distingue surtout par sa profondeur historique : 21 352 commandes enregistrées sur près de 17 ans, avec 14 996 combinaisons distinctes de noms et d’adresses. Un ensemble de données permettant potentiellement d’identifier des milliers d’anciens clients ou destinataires de tirages photographiques, parfois bien après leur dernière commande.
Source originale : Cyberattaque.org.
