Smartbox, l’un des leaders européens des coffrets cadeaux, confirme avoir été victime d’une cyberattaque détectée le 3 novembre 2026. Un individu non autorisé est parvenu à accéder à l’une de ses plateformes informatiques, exposant potentiellement les noms et adresses email de ses clients. L’entreprise a commencé à prévenir les personnes concernées, alors que la période des achats de Noël approche. Le nombre de clients touchés reste inconnu, mais Smartbox assure que les mots de passe et les coordonnées bancaires n’ont pas été compromis.
Ce nouvel incident survient moins de cinq mois après une précédente fuite de données concernant Smartbox, révélée par Cyberattaque.org en juin 2026. À l’époque, plus de 60 000 comptes et 200 000 enregistrements contractuels étaient concernés par une publication de données attribuées au groupe. Cette nouvelle intrusion relance donc les interrogations sur la sécurité des informations détenues par le spécialiste des coffrets cadeaux, même si aucun lien entre les deux affaires n’a été établi.
Fondé en 2003, Smartbox est un groupe spécialisé dans la commercialisation de coffrets cadeaux proposant des séjours, des restaurants, des activités sportives et des expériences de bien-être. Basé à Dublin, en Irlande, le groupe est présent dans plusieurs pays européens, dont la France, où il possède également des bureaux à Paris. Il commercialise notamment les marques Smartbox, Dakotabox et Bongo.
Une intrusion détectée le 3 novembre sur une plateforme Smartbox
Dans un email adressé à ses clients, Smartbox reconnaît avoir détecté un accès non autorisé à l’une de ses plateformes le 3 novembre 2026.
L’entreprise indique être intervenue immédiatement pour sécuriser son environnement informatique et empêcher toute nouvelle connexion frauduleuse.
Une enquête approfondie a été ouverte afin de déterminer les circonstances de l’incident et les données susceptibles d’avoir été consultées.
La méthode utilisée par le pirate n’a pas été communiquée. La compromission d’identifiants, l’exploitation d’une vulnérabilité applicative ou un défaut de contrôle d’accès pourraient expliquer une telle intrusion, mais aucun de ces scénarios n’est confirmé.
Cyberattaque.org avait déjà révélé une fuite de plus de 60 000 comptes en juin
Cette cyberattaque n’est pas le premier incident de sécurité signalé concernant Smartbox en 2026. Le 11 juin dernier, Cyberattaque.org avait publié une enquête révélant la diffusion de données attribuées au groupe sur un espace fréquenté par des cybercriminels.
Dans cette précédente affaire, plus de 60 500 comptes utilisateurs et 202 000 enregistrements liés à des contrats avaient été identifiés dans les fichiers diffusés. Contrairement à l’incident de novembre, les données semblaient principalement concerner les partenaires commerciaux et les outils de gestion internes de Smartbox, plutôt que les consommateurs ayant acheté des coffrets cadeaux.
Les informations comprenaient notamment des noms, des adresses email, des numéros de téléphone, des coordonnées professionnelles, des informations sur les entreprises partenaires ainsi que des références contractuelles. Des éléments techniques associés aux plateformes Salesforce et Adobe Sign figuraient également dans les données examinées.
Cette première affaire avait fait l’objet d’un article détaillé de Cyberattaque.org : plus de 60 000 comptes et 200 000 contrats exposés dans une fuite de données.
À l’époque, aucune confirmation officielle de Smartbox concernant cette revendication n’avait été identifiée. L’origine exacte de cette première fuite demeurait donc incertaine.
Moins de cinq mois plus tard, Smartbox confirme désormais une intrusion informatique, cette fois susceptible de concerner directement ses clients. Aucun élément disponible ne permet toutefois d’affirmer que les deux incidents sont liés, qu’ils concernent les mêmes systèmes ou qu’ils résultent d’une même vulnérabilité.
Des noms et des adresses email potentiellement consultés
Selon les premières conclusions de son enquête, Smartbox estime que certaines informations personnelles de ses clients pourraient avoir été consultées par l’attaquant.
Les catégories de données concernées sont limitées à ce stade :
- Noms et prénoms des clients ;
- Adresses email associées aux comptes.
L’entreprise confirme que les mots de passe des comptes et les coordonnées bancaires n’étaient pas accessibles à l’attaquant.
Smartbox ne précise pas le nombre de clients potentiellement concernés ni les pays dans lesquels ils résident. Le groupe ne détaille pas non plus si les autres marques de son réseau sont touchées.
Une distinction importante demeure : l’entreprise évoque une possible consultation de données, sans confirmer leur extraction ou leur diffusion. Aucune publication de fichiers attribués à cet incident du 3 novembre n’a été établie.
De faux cadeaux et remboursements pourraient piéger les clients
La période de l’année rend cette cyberattaque particulièrement sensible. À quelques semaines de Noël, les cybercriminels pourraient exploiter les coordonnées compromises pour envoyer de faux messages au nom de Smartbox.
Ces tentatives d’hameçonnage pourraient notamment évoquer un coffret cadeau arrivant à expiration, un problème de réservation ou un remboursement à récupérer.
En utilisant le nom du véritable client et une présentation reprenant l’identité de Smartbox, les fraudeurs pourraient inciter leurs victimes à communiquer des identifiants ou des informations bancaires sur de fausses pages internet.
Les clients concernés doivent notamment se méfier des messages contenant des liens vers des sites imitant celui de Smartbox, particulièrement lorsqu’ils demandent une connexion urgente à leur compte ou un paiement supplémentaire.
Aucune utilisation frauduleuse des données liée à cette nouvelle cyberattaque n’a cependant été confirmée.
Smartbox prévient les autorités et renforce ses systèmes
À la suite de l’incident, Smartbox confirme avoir informé les autorités compétentes, notamment les forces de l’ordre et la Commission de protection des données irlandaise, chargée de superviser le respect du RGPD dans son pays d’établissement.
L’entreprise indique également procéder à une révision de la sécurité de l’ensemble de ses systèmes informatiques et mettre en place des protections supplémentaires.
Elle précise qu’aucune action immédiate n’est nécessaire de la part de ses clients, mais recommande une vigilance particulière face aux emails, appels téléphoniques et messages demandant des informations personnelles ou bancaires.
Au 7 novembre 2026, l’intrusion informatique est officiellement confirmée, mais l’ampleur exacte de l’incident reste inconnue. L’identité de l’attaquant, la durée de son accès et l’existence d’un éventuel vol de données ne sont pas établies.
Pour Smartbox, cette cyberattaque intervient à une période stratégique, marquée par l’approche des fêtes de fin d’année. Même sans accès aux mots de passe ou aux cartes bancaires, la récupération éventuelle d’identités et d’adresses email pourrait permettre aux escrocs de cibler les clients avec des messages particulièrement crédibles.
Cette nouvelle alerte rappelle également que Smartbox a été concerné par deux incidents de sécurité distincts signalés en moins de cinq mois : une fuite de données attribuée au groupe en juin et une intrusion officiellement reconnue en novembre. Reste à déterminer le périmètre réel de cette dernière attaque et si d’autres informations ont pu être compromises.
Source originale : Cyberattaque.org.
