Le 8 septembre 2026, Aroma-Zone a indiqué à certains clients que des tiers avaient pu consulter, dans l’environnement de Shipup, des noms, prénoms, adresses e-mail et parfois des numéros de téléphone. La période d’accès non autorisé communiquée va du 31 juillet au 17 août 2026.
Selon la notification relayée par Cyberattaque.org, les mots de passe, les commandes, les informations de livraison et les données bancaires ou de paiement ne sont pas concernés. La notification ne confirme pas l’extraction des coordonnées et ne précise pas le nombre de clients concernés.
Quelles données de clients sont rapportées
Les données citées dans la notification sont les noms, prénoms, adresses e-mail et, lorsque le numéro était renseigné, numéros de téléphone. Aroma-Zone exclut explicitement les mots de passe, l'historique de commande, les détails de livraison et les informations bancaires ou de paiement.
Une adresse e-mail associée à une commande ou à une livraison reste toutefois exploitable. Elle donne à un message frauduleux un contexte précis : nom du client, colis attendu ou prétendu problème d'adresse.
Pourquoi Shipup augmente le risque de phishing
Un prestataire de suivi intervient au moment où le client attend déjà une notification. Un fraudeur peut imiter un SMS de colis bloqué, demander une confirmation d'adresse ou rediriger vers un faux paiement.
La présence du nom d'Aroma-Zone ou d'un détail de livraison ne prouve pas qu'un message est légitime. Vérifiez toujours la demande depuis un canal ouvert manuellement.
Ce que doivent faire les clients Aroma-Zone
Vérifiez une commande depuis le site Aroma-Zone ou le transporteur saisi vous-même dans le navigateur. N'utilisez pas le lien d'un SMS ou d'un e-mail pour payer des frais, confirmer une adresse ou télécharger une pièce jointe.
Si le mot de passe Aroma-Zone est réutilisé sur la messagerie, un compte financier ou un autre service, changez-le sur ces services en priorité. L'incident Shipup ne prouve pas que ces comptes ont été compromis, mais la réutilisation augmente leur exposition.
Ce que les entreprises doivent vérifier dans leur chaîne logistique
Selon la notification relayée, Shipup indique avoir corrigé la vulnérabilité, révoqué les accès compromis, renouvelé les identifiants et clés concernés, et renforcé la sécurité de son infrastructure. Aroma-Zone indique avoir déclenché sa procédure de gestion des violations et notifié la CNIL.
LeMagIT et Ostraca rapportent que Shipup faisait partie des organisations touchées lors de la campagne visant Metabase. La notification d’Aroma-Zone ne nomme toutefois ni ce logiciel ni la CVE concernée : ce lien technique provient des informations publiques sur l’incident chez Shipup, pas du message adressé aux clients.
Les équipes qui utilisent un prestataire de suivi doivent, elles aussi, recenser quelles coordonnées lui sont transmises, qui peut y accéder, combien de temps elles sont conservées et comment l'incident est notifié. Cette cartographie aide à distinguer une fuite chez le fournisseur d'une compromission des propres systèmes de l'enseigne.
Le lien avec Soclyde
Soclyde ne protège pas Shipup, Aroma-Zone ou les comptes de leurs clients et ne peut pas annuler cette fuite. Il aide complémentairement une équipe à générer un secret différent pour chaque service, à le conserver dans un coffre chiffré local-first et à retrouver les accès à renouveler.
Cette séparation limite l'effet domino si un mot de passe d'un service marchand ou logistique a été réutilisé ailleurs.
À retenir
L'incident rapporté concerne la consultation possible de coordonnées de clients chez Shipup, entre le 31 juillet et le 17 août 2026. Aroma-Zone exclut les mots de passe, commandes, données de livraison et paiements ; aucune extraction des coordonnées n'est confirmée par la notification citée. Vérifiez les messages depuis un site officiel et consultez le guide du générateur de mots de passe sécurisé ou contactez Soclyde.
Pour conserver des identifiants distincts et mieux en contrôler le stockage, consultez aussi notre guide du gestionnaire de mots de passe local-first.
