La Compagnie des Sens confirme avoir subi un incident de sécurité ayant permis à un tiers non autorisé d’accéder aux informations de certains comptes clients de sa boutique en ligne. L’entreprise lyonnaise indique que l’intrusion s’est produite au début du mois d’octobre 2026.
Dans un email dont Cyberattaque.org s’est procuré une copie, La Compagnie des Sens confirme que les données potentiellement accessibles comprennent notamment l’identité des clients, leurs coordonnées et leur historique de commandes. Les mots de passe sont également concernés par les mesures prises après l’incident.
Les comptes de la boutique en ligne directement concernés
La Compagnie des Sens est un laboratoire lyonnais indépendant créé en 2013, spécialisé notamment dans les huiles essentielles, extraits de plantes, compléments alimentaires et cosmétiques naturels. Son site permet directement aux clients de commander ces produits en ligne.
Selon l’entreprise, l’attaquant a réussi à accéder sans autorisation aux informations des comptes de sa boutique. La date exacte de l’intrusion et le nombre de personnes concernées ne sont toutefois pas précisés dans le courrier communiqué aux clients.
Identité et historique de commandes exposés
Les informations potentiellement concernées comprennent les noms, les coordonnées des clients et leur historique de commandes. Ces données peuvent fournir suffisamment de contexte pour construire des campagnes de phishing particulièrement crédibles.
Un attaquant pourrait par exemple se faire passer pour La Compagnie des Sens en évoquant une véritable commande, un remboursement, une livraison ou un problème concernant un achat déjà effectué.
Tous les mots de passe ont été réinitialisés
L’entreprise précise que les mots de passe n’étaient pas stockés sous une forme directement lisible. Elle ne détaille cependant pas l’algorithme utilisé pour les protéger ni la manière dont l’attaquant aurait pu y accéder.
Par précaution, tous les mots de passe du site ont été réinitialisés. Les clients doivent désormais utiliser la fonction « Mot de passe oublié » lors de leur prochaine connexion afin d’en créer un nouveau.
Les personnes ayant réutilisé le même mot de passe sur d’autres services ont également intérêt à le modifier, notamment sur leur messagerie principale.
Aucune donnée bancaire stockée par La Compagnie des Sens
La Compagnie des Sens indique qu’aucune donnée bancaire n’est concernée. L’entreprise précise ne pas conserver elle-même les coordonnées complètes des cartes de paiement, celles-ci étant traitées par un prestataire externe.
À ce stade, rien ne permet non plus d’affirmer que les informations récupérées ont été publiées ou utilisées frauduleusement.
La faille corrigée et la CNIL informée
Après la découverte de l’incident, La Compagnie des Sens affirme avoir stoppé l’intrusion et corrigé la vulnérabilité utilisée. L’entreprise indique également avoir renforcé ses mesures de sécurité.
L’incident a été déclaré à la CNIL. La Compagnie des Sens appelle désormais ses clients à la vigilance face aux emails ou appels frauduleux et rappelle qu’elle ne demandera jamais un paiement, un code ou des identifiants par ce biais.
Le principal point encore inconnu reste le nombre exact de comptes compromis. L’entreprise ne précise pas non plus la nature de la vulnérabilité exploitée ni pendant combien de temps l’attaquant a conservé son accès.
Source originale : Cyberattaque.org.
Image d’illustration : Centaur server room (2293424530).jpg — VIA Gallery from Hsintien, Taiwan — CC BY 2.0, via Wikimedia Commons.
