Cyberattaque chez Intermarché : pourquoi le retail reste une cible privilégiée des hackers

L’enseigne Intermarché a été victime d’une cyberattaque ayant exposé les données personnelles de **287 605 clients**, selon nos confrères de BDM. Cet incident, survenu près d’un an après les attaques ayant touché Marks & Spencer, Co-op et Harrods au Royaume-Uni, illustre une fois de plus la vulnérabilité structurelle du secteur du retail face aux cybermenaces. Les données dérobées — noms, dates de naissance, numéros de fidélité ou historiques de commandes — ne permettent pas directement de réaliser des transactions frauduleuses, mais leur valeur réside dans leur capacité à servir de levier pour des attaques ultérieures, plus ciblées et sophistiquées.

Un secteur sous pression, entre croissance numérique et faiblesses structurelles

Le retail cumule plusieurs facteurs de risque qui en font une cible privilégiée pour les cybercriminels. D’abord, le volume de données collectées est colossal : programmes de fidélité, historiques d’achats, comptes en ligne ou données de livraison forment des bases clients tentantes pour les attaquants. Ensuite, la digitalisation accélérée — avec l’essor du e-commerce, du click & collect ou des applications mobiles — a élargi la surface d’attaque sans que les équipes IT et sécurité ne disposent toujours des moyens nécessaires pour la protéger. « Le retail a grandi plus vite côté digital que côté défense », souligne Matthieu Trivier, Associate VP of Pre-Sales chez Semperis, spécialiste de la cybersécurité des identités en entreprise, interrogé par BDM.

Enfin, la pression opérationnelle est constante : un service Drive indisponible se traduit immédiatement par une perte de chiffre d’affaires. Dans ce contexte, les arbitrages budgétaires penchent souvent en faveur de la continuité de service au détriment de la sécurité, un calcul à court terme qui peut s’avérer coûteux à long terme. Les récentes attaques contre Intermarché, mais aussi contre des enseignes britanniques comme Marks & Spencer ou Harrods, montrent que le secteur paie aujourd’hui le prix de cette course à la digitalisation sans filet de protection adapté.

Des données anodines, mais une arme redoutable entre les mains des hackers

Contrairement aux cartes bancaires, dont le blocage est immédiat, les données d’identité exposées — nom, prénom, date de naissance, adresse, numéro de fidélité — conservent une valeur bien au-delà de l’incident. Elles servent de base à des attaques de phishing hautement personnalisées. Un attaquant en possession d’un numéro de fidélité et d’un historique d’achats peut, par exemple, contacter un client en se faisant passer pour le service client de l’enseigne, avec des arguments crédibles. « Une date de naissance et une adresse, c’est encore ce qu’on utilise comme éléments de vérification chez beaucoup d’opérateurs ou de banques », explique Matthieu Trivier. Ces données permettent de contourner les systèmes de vérification classique et de construire des profils détaillés, exploitables pendant des mois, voire des années.

Les cybercriminels recoupent ces informations avec d’autres bases de données — volées ailleurs — pour affiner leur connaissance des victimes. Le risque ? Des campagnes de phishing ultra-ciblées, où le message frauduleux semble légitime, avec des détails précis (prénom, commande récente, numéro de fidélité) qui trompent même les utilisateurs avertis. Selon Matthieu Trivier, « ce n’est plus aussi hasardeux que ça a pu l’être : ces messages sont personnalisés avec des données exactes, souvent rédigés à l’aide d’IA générative, donc sans les fautes qui trahissaient autrefois le phishing ».

Intermarché : une fuite qui pourrait s’avérer plus large que prévu

Lors de l’annonce de la cyberattaque, Intermarché a reconnu l’exposition des données de **287 605 clients**, un chiffre qui pourrait être revu à la hausse. Selon le site French Breaches, un cybercriminel revendique en effet détenir bien plus de données que celles officiellement reconnues par l’enseigne. Cet écart n’est pas surprenant pour les experts en cybersécurité. Au moment de la divulgation, une entreprise ne communique que les données dont elle peut prouver l’exposition, tandis que l’attaquant gonfle volontiers ses revendications pour renforcer sa crédibilité ou faire pression sur sa victime. « Le chiffre annoncé au jour J est presque toujours une estimation basse », précise Matthieu Trivier. L’ampleur réelle de la fuite ne pourra être établie qu’après une analyse forensique complète, un processus qui prend plusieurs semaines. Pour Matthieu Trivier, « le vrai périmètre ne peut être établi qu’avec une analyse forensique complète de l’infrastructure d’identité et des journaux d’accès ».

Une faille qui ne vient pas toujours de la base de données elle-même

Contrairement aux idées reçues, une fuite de données comme celle d’Intermarché ne signifie pas nécessairement que la base clients a été directement piratée. Dans la majorité des cas, c’est un **compte à privilèges** — souvent celui d’un employé ou d’un service — qui a été compromis, offrant à l’attaquant un accès latéral jusqu’aux applications et aux bases de données internes. « Pour un incident comme celui d’Intermarché, décrit comme le ciblage d’une base de données clients, la vraie question est : comment l’attaquant a-t-il atteint cette base ? », interroge Matthieu Trivier. Les systèmes d’identité, comme Active Directory ou Entra ID (utilisés par plus de 90 % des organisations mondiales), sont souvent le maillon faible de la chaîne de sécurité. Ces infrastructures, qui gèrent les droits d’accès, restent insuffisamment protégées, alors qu’elles constituent la porte d’entrée privilégiée des cybercriminels.

Face à la multiplication des attaques, quelle stratégie adopter ?

Pour Matthieu Trivier, la priorité absolue est d’adopter une **posture « assumed breach »** : c’est-à-dire partir du principe que l’attaque est inévitable et s’y préparer en conséquence. « Il ne faut plus se demander « si » on va être attaqué, mais « quand » », insiste-t-il. Concrètement, cela implique d’identifier en amont les systèmes critiques dont la compromission aurait les conséquences les plus graves — comme les bases clients — et de les surveiller en continu. Un plan de réponse à incident, rédigé et testé à l’avance, doit être prêt pour éviter de improviser sous la pression. « Un client informé et vigilant limite lui-même l’impact des campagnes de phishing qui suivent », rappelle Matthieu Trivier. Intermarché a ainsi notifié la CNIL et alerté ses clients dès la détection de l’attaque, une réactivité qui peut réduire les risques de fraude secondaire.

Autre levier essentiel : la sauvegarde des données sensibles, isolées du système de production pour permettre une reprise rapide sans dépendre d’une éventuelle rançon. Enfin, la transparence envers les clients est cruciale. Les enseignes doivent communiquer clairement sur les mesures prises pour sécuriser les données, tout en encourageant les utilisateurs à rester vigilants face à des messages semblant provenir de l’entreprise.

Interrogé sur l’évolution du secteur, Matthieu Trivier estime que « le retail a un vrai chantier de sécurité à mener », mais que « ces incidents sont aussi plus visibles mécaniquement, car ils touchent directement des millions de particuliers ». Une chose est sûre : avec l’essor de l’IA générative et des techniques de personnalisation des attaques, la lutte contre le phishing entrera dans une nouvelle ère, où la prudence ne suffira plus — il faudra des outils adaptés pour détecter les menaces avant qu’elles ne frappent.