Ninkasi confirme avoir été victime d’une cyberattaque visant sa boutique en ligne le 12 novembre 2026. Dans un email adressé à ses clients, l’entreprise lyonnaise reconnaît qu’un individu non autorisé a pu consulter des informations personnelles, notamment des noms, adresses postales, numéros de téléphone et historiques de commandes. Plus inquiétant, les mots de passe des comptes clients, conservés dans un ancien format, ont également pu être exposés. L’entreprise indique avoir détecté et bloqué l’intrusion le jour même.
Fondé à Lyon en 1997 par Christophe Fargier, Ninkasi est une enseigne française connue pour ses bières artisanales, ses whiskies, ses restaurants et ses salles de concert. Le groupe dispose de nombreux établissements en France et produit ses bières et spiritueux dans sa brasserie-distillerie située à Tarare, dans le Rhône. Sa boutique en ligne, accessible sur shop.ninkasi.fr, commercialise notamment des bières, des whiskies, des accessoires et des équipements de tirage.
Une intrusion détectée et bloquée le 12 novembre
Dans une notification dont Cyberattaque.org s’est procuré une copie, Ninkasi confirme un accès non autorisé à sa boutique en ligne le jeudi 12 novembre 2026.
L’entreprise précise avoir identifié l’intrusion et bloqué l’accès frauduleux au cours de cette même journée. Certaines informations personnelles associées aux comptes clients ont néanmoins pu être consultées.
La méthode utilisée par les attaquants n’est pas communiquée. Une vulnérabilité du site marchand, une compromission d’identifiants administratifs ou un défaut de contrôle d’accès pourraient expliquer ce type d’incident, sans qu’aucune de ces hypothèses soit confirmée.
La durée exacte de l’accès frauduleux, l’identité de l’attaquant et le nombre de clients concernés ne sont pas précisés.
Des noms, adresses et historiques de commandes potentiellement consultés
Ninkasi identifie plusieurs catégories de données personnelles susceptibles d’avoir été exposées lors de cette cyberattaque.
- Noms et prénoms des clients ;
- Adresses email ;
- Numéros de téléphone ;
- Adresses postales ;
- Historiques des commandes effectuées sur la boutique ;
- Mots de passe des comptes clients, enregistrés dans un ancien format.
L’entreprise précise que les données de paiement ne sont pas concernées. Les transactions sont traitées par des prestataires sécurisés et les informations bancaires ne sont pas conservées directement sur sa boutique en ligne.
Cette distinction limite les risques liés à une exposition directe de coordonnées bancaires, mais ne supprime pas ceux associés au vol d’identifiants ou à l’usurpation d’identité.
Des mots de passe conservés dans un ancien format : le point le plus préoccupant
Le passage le plus inquiétant de la notification concerne les mots de passe des utilisateurs. Ninkasi reconnaît que le mot de passe associé au compte de sa boutique en ligne, conservé dans un ancien format, a pu être consulté par l’attaquant.
L’entreprise ne précise pas la méthode utilisée pour protéger ces mots de passe. Il n’est donc pas possible de déterminer s’ils étaient directement lisibles, chiffrés ou protégés par un ancien algorithme de hachage.
Cette absence de précision soulève néanmoins des questions sur la sécurité des identifiants historiques conservés par la plateforme.
Ninkasi demande à ses clients de créer un nouveau mot de passe lors de leur prochaine connexion. L’entreprise recommande également de modifier ce mot de passe sur les autres services où il aurait été réutilisé.
Cette précaution est importante : des identifiants compromis sur un site marchand peuvent être utilisés pour tenter d’accéder à des messageries, des réseaux sociaux ou d’autres comptes personnels.
Des risques de fraude à partir des informations de commande
La combinaison des coordonnées personnelles et des historiques d’achat pourrait permettre des tentatives d’hameçonnage particulièrement crédibles.
Un cybercriminel pourrait notamment se faire passer pour le service client de Ninkasi afin d’annoncer un problème de livraison, une commande à confirmer ou une demande de remboursement.
La connaissance de l’adresse postale et des achats effectués pourrait renforcer la crédibilité de ces messages et inciter les victimes à communiquer de nouvelles informations.
Aucune exploitation frauduleuse des informations concernées n’est toutefois établie dans la notification. Ninkasi appelle ses clients à la vigilance face aux sollicitations inhabituelles demandant des mots de passe ou des coordonnées bancaires.
Ninkasi confirme avoir sécurisé sa boutique, mais l’ampleur reste inconnue
Ninkasi affirme avoir bloqué l’accès non autorisé dès sa détection, le 12 novembre 2026. L’entreprise invite les personnes concernées à renouveler leur mot de passe et met à disposition une adresse de contact dédiée aux questions sur les données personnelles : rgpd@ninkasi.fr.
La notification ne précise pas combien de clients ont été informés, si des données ont effectivement été copiées ni si d’autres services du groupe ont été concernés.
À ce stade, la cyberattaque de la boutique en ligne et l’accès non autorisé sont officiellement reconnus par Ninkasi. Les informations disponibles ne permettent cependant pas d’affirmer que les systèmes informatiques de ses restaurants, de sa brasserie ou de ses autres activités ont été compromis.
Cette nouvelle affaire rappelle qu’une boutique en ligne peut constituer un point d’entrée sensible pour les cybercriminels, particulièrement lorsqu’elle conserve des mots de passe historiques et des informations permettant d’identifier précisément ses clients.
Source originale : Cyberattaque.org.
