Selon Clubic, qui a consulté ce message, Carrefour y confirme un incident de sécurité chez l'un de ses prestataires et détaille ce qui a pu être consulté : votre prénom, votre nom, votre adresse e-mail et votre numéro de téléphone. L'enseigne précise qu'aucun mot de passe ni aucune donnée bancaire ne figure dans le lot. Autrement dit, personne ne peut se connecter à votre compte ni payer avec votre carte à partir de ces seules informations. Je comprends qu'on hésite à ouvrir un message pareil, tant son objet ressemble aux faux messages que nous apprenons tous à supprimer.
 

Ce prestataire, Carrefour ne le nomme pas dans son courrier électronique. D'après Cyberattaque.org et FrenchBreaches, deux sites spécialisés qui ont recoupé l'affaire, il s'agirait de Shipup, une société qui gère le suivi des colis pour de nombreux sites marchands. C'est elle qui envoie, au nom des enseignes, les e-mails et les SMS qui vous annoncent qu'une commande est partie ou qu'elle arrive demain. Vous ne l'avez jamais croisée, et pourtant vos coordonnées transitaient par ses serveurs chaque fois qu'un achat en ligne vous était livré.

Or cette société a été touchée par une faille dans Metabase, un logiciel utilisé pour analyser des bases de données. Elle permettait à un pirate de s'introduire dans une installation vulnérable sans le moindre identifiant, puis de consulter ce qu'elle contenait. Chez d'autres clients de Shipup, l'intrusion s'est déroulée entre le 31 juillet et le 17 août 2026, une période que Carrefour ne confirme pas pour ses propres clients.
 
Carrefour n'est d'ailleurs pas la première enseigne à écrire ce genre de message. Shipup travaille avec plus de 700 marques, et Micromania, Easypara, Printemps, Citadium et Aroma-Zone ont déjà prévenu leurs clients pour la même raison. Une seule faille chez un sous-traitant suffit donc à exposer les clients de plusieurs enseignes, sans qu'aucune d'elles n'ait été piratée directement. Si vous commandez régulièrement en ligne, vous pourriez recevoir plusieurs de ces alertes pour un seul et même incident.
 

Mais pourquoi s'inquiéter, puisque ni la carte bancaire ni le mot de passe ne sont concernés ? Parce qu'un escroc qui connaît votre nom, votre adresse mail et votre numéro n'a plus besoin d'envoyer un message générique. Il peut vous écrire en vous appelant par votre prénom, en se faisant passer pour Carrefour ou pour un livreur, et évoquer une commande, un colis bloqué ou un remboursement en attente. Le piège est d'autant plus crédible que le prestataire visé était justement celui qui envoyait les vrais avis de livraison.

Ce scénario n'a rien de théorique. Début septembre, Clubic rapportait qu'un faux courrier aux couleurs de la DGFiP visait des personnes déjà touchées par la fuite de Colis Privé, avec un simple QR code qui renvoyait vers un site piégé. Les fraudeurs recyclent ces fichiers, parfois des semaines après l'incident, au moment où la vigilance retombe.

Et le phénomène prend de l'ampleur. Les chiffres publiés par Cybermalveillance.gouv.fr dans son baromètre 2026 montrent que 45 % des Français ont été informés d'une fuite de leurs données personnelles en douze mois, contre 30 % en 2025. Le même baromètre place l'hameçonnage par mail ou SMS en tête des malveillances rencontrées, avec 53 % de personnes concernées. Vous faites peut-être partie de ceux qui ont reçu plusieurs alertes cette année sans savoir laquelle prendre au sérieux.
 

Sur le reste, Carrefour se montre avare de détails : l'enseigne n'a communiqué ni le nombre de clients touchés, ni la période de l'intrusion, ni le volume de données réellement consultées. Rien n'indique en revanche que son site, ses comptes clients ou ses propres systèmes aient été compromis. Pour toute question, l'enseigne a ouvert une adresse dédiée : [email protected].
 

Que faire, alors, si un SMS vous annonce un colis Carrefour en souffrance, des frais de réexpédition à régler ou un remboursement à valider ? Ne jamais passer par le lien qu'il contient. Nous avons tous un réflexe plus sûr à portée de main : ouvrir soi-même l'application ou le site de l'enseigne, et vérifier dans son espace client si une commande est réellement en cours. Si rien n'y apparaît, le message a toutes les chances de ne pas venir de Carrefour.

Ce faux message, vous pouvez aussi le faire remonter. Comme le rappelle la DGCCRF, il suffit de transférer le SMS frauduleux, sans commentaire, au 33700, puis de compléter le signalement lorsque le message automatique du service vous y invite. Les signalements sont transmis chaque jour aux opérateurs, qui peuvent couper les numéros à l'origine des envois.
 
Après l'annonce d'une fuite, 59 % des personnes interrogées par Cybermalveillance.gouv.fr disent s'être montrées plus vigilantes face aux mails, SMS et appels inconnus, et 44 % avoir renforcé la surveillance de leurs comptes bancaires. Un dépliant conçu avec la CNIL, intitulé « Violation de données personnelles, que faire en 3 étapes clés », sera disponible dès le 1er octobre pour guider les victimes du premier jour à J+30.

Ce mail de Carrefour vous prévient d'un risque, il ne vous annonce aucune perte : la suite se jouera surtout sur la manière dont vous accueillerez le prochain message qui vous appellera par votre prénom.