Leroy Merlin Cible d'une Cyberattaque Massive : Des Données Clients Exposées

Bruxelles, le 4 décembre 2025 – Le paysage numérique européen connaît un nouveau revers majeur en ce début de décembre 2025. Leroy Merlin, enseigne emblématique du bricolage et de l'aménagement de la maison, vient de confirmer avoir été la cible d'une cyberattaque sophistiquée, entraînant la compromission des données personnelles de centaines de milliers de ses clients fidélité. Cet incident, révélé dans les dernières heures, met une fois de plus en lumière la vulnérabilité des grandes entreprises face à la menace cybernétique croissante.

L'Étendue de la Brèche : Quelles Données Sont Concernées ?

Selon les informations relayées par l'enseigne elle-même et confirmées par nos sources, l'attaque a spécifiquement visé les bases de données associées aux comptes de fidélité. Les pirates sont parvenus à s'emparer de ce que Leroy Merlin qualifie de « données de contact ». Il s'agit précisément des noms et prénoms des clients, de leurs numéros de téléphone, de leurs adresses e-mail et de leurs adresses postales complètes. Ces informations, bien que non directement financières, constituent un ensemble précieux pour des acteurs malveillants.

Un point crucial et rassurant, du moins en apparence, a été souligné par Leroy Merlin : les données bancaires et les mots de passe des comptes clients n'auraient pas été affectés par cette intrusion. Cette distinction est fondamentale car elle écarte, pour l'heure, un risque direct de transactions frauduleuses ou d'accès non autorisé aux comptes des clients sur le site de l'enseigne. Cependant, la compromission de données de contact reste une préoccupation majeure aux implications potentiellement sérieuses.

La découverte de cette brèche aurait eu lieu fin novembre 2025, à la suite d'alertes internes ou d'un signalement externe. Les équipes de sécurité informatique de Leroy Merlin ont immédiatement réagi pour circonscrire l'attaque et évaluer l'étendue des dégâts. Le nombre exact de clients touchés n'a pas été communiqué avec précision, mais l'enseigne évoque « quelques centaines de milliers », suggérant une opération d'une ampleur considérable.

La Réponse de Leroy Merlin : Transparence et Mesures Correctives

Face à cette situation, Leroy Merlin a affirmé avoir mis en place un protocole d'urgence. Dès la découverte de l'incident, une investigation approfondie a été lancée, en collaboration avec des experts en cybersécurité. L'enseigne a également indiqué avoir notifié les autorités compétentes, notamment la CNIL en France et l'Autorité de protection des données (APD) en Belgique, conformément aux obligations du Règlement Général sur la Protection des Données (RGPD).

La communication auprès des clients concernés est également en cours. Des e-mails et des SMS sont envoyés pour les informer de la situation, les rassurer sur la nature des données non compromises et leur prodiguer des conseils de vigilance. Dans son communiqué, Leroy Merlin exprime ses profonds regrets pour les désagréments causés par cet incident et réaffirme son engagement à protéger les données de ses clients, annonçant un renforcement de ses systèmes de sécurité.

Les Risques Post-Cyberattaque : Au-delà des Données Bancaires

Même si les informations bancaires et les mots de passe sont épargnés, la fuite de données de contact n'est pas sans danger. Les noms, prénoms, adresses e-mail, numéros de téléphone et adresses postales constituent une mine d'or pour les cybercriminels spécialisés dans l'ingénierie sociale et l'usurpation d'identité. Ces données peuvent être utilisées pour diverses attaques :

• Phishing et Spear-phishing : Les pirates peuvent envoyer des e-mails frauduleux très convaincants (phishing), se faisant passer pour Leroy Merlin ou d'autres entités, pour tenter d'obtenir des informations plus sensibles (identifiants, données bancaires) ou installer des logiciels malveillants. Le « spear-phishing » est particulièrement dangereux car les e-mails peuvent être personnalisés grâce aux données volées, augmentant leur crédibilité.
• Smishing et Vishing : Des SMS (smishing) ou appels téléphoniques (vishing) frauduleux peuvent être effectués, exploitant les numéros de téléphone et les noms des victimes pour des tentatives d'escroquerie ou de hameçonnage vocal.
• Usurpation d'identité : Bien que plus complexe sans mot de passe, l'agrégation de ces données avec d'autres informations disponibles publiquement peut faciliter des tentatives d'usurpation d'identité pour créer des comptes frauduleux ou demander des services.
• Spam et démarchage abusif : Les adresses e-mail et postales peuvent être vendues sur le marché noir pour des campagnes massives de spam ou de démarchage commercial non sollicité.

Cet incident s'inscrit dans un contexte plus large de recrudescence des cyberattaques en Europe et dans le monde en 2025. Aucun secteur n'est épargné, qu'il s'agisse du commerce de détail, de la santé, des services financiers ou même des administrations publiques. La sophistication des attaques ne cesse de croître, obligeant les entreprises à investir massivement dans la cybersécurité et les particuliers à redoubler de vigilance.

Cadre Réglementaire et Responsabilités

En vertu du RGPD, toute entreprise opérant dans l'Union Européenne a l'obligation de protéger les données personnelles de ses clients. En cas de brèche, elle doit la notifier aux autorités de contrôle dans les 72 heures et, si le risque est élevé pour les droits et libertés des personnes, en informer également les personnes concernées. Le non-respect de ces obligations peut entraîner des sanctions financières significatives, pouvant aller jusqu'à 4% du chiffre d'affaires annuel mondial de l'entreprise ou 20 millions d'euros, le montant le plus élevé étant retenu.

La CNIL et l'APD analyseront la diligence de Leroy Merlin dans la prévention de l'attaque, la rapidité de sa réaction et l'exhaustivité de sa communication. Cette affaire pourrait servir de précédent ou de renforcement des exigences en matière de sécurité des données pour les acteurs du e-commerce et du commerce physique disposant de programmes de fidélité.

Conseils aux Consommateurs : Comment Se Protéger ?

Face à une telle situation, la vigilance est le maître-mot pour les consommateurs. EuroMK News recommande à tous les clients de Leroy Merlin, et plus largement à l'ensemble des internautes, d'adopter les réflexes suivants :

• Soyez extrêmement méfiant vis-à-vis des e-mails, SMS ou appels téléphoniques inattendus, même s'ils semblent provenir de Leroy Merlin ou d'une autre entité connue.
• Ne cliquez jamais sur des liens suspects ou n'ouvrez pas de pièces jointes douteuses. En cas de doute, accédez directement au site officiel de l'entreprise via votre navigateur habituel.
• Ne communiquez jamais vos mots de passe, informations bancaires ou autres données sensibles par e-mail, SMS ou téléphone. Une entreprise légitime ne vous demandera jamais ces informations de cette manière.
• Utilisez des mots de passe uniques et robustes pour chacun de vos comptes en ligne. Même si les mots de passe de Leroy Merlin n'ont pas été compromis, cette bonne pratique est essentielle pour éviter qu'une brèche sur un site n'impacte vos autres comptes.
• Activez l'authentification à deux facteurs (2FA) partout où c'est possible. Cela ajoute une couche de sécurité supplémentaire en demandant un code envoyé à votre téléphone ou via une application après avoir entré votre mot de passe.
• Surveillez vos relevés bancaires et toute activité suspecte sur vos comptes en ligne.

L'Avenir de la Cybersécurité : Un Défi Permanent

L'incident survenu chez Leroy Merlin est un rappel brutal que la numérisation croissante de nos vies et de nos économies s'accompagne de défis de sécurité complexes et persistants. Pour les entreprises, l'investissement dans des infrastructures de cybersécurité robustes, la formation continue des employés et la mise en place de plans de réponse aux incidents ne sont plus une option mais une nécessité vitale. Pour les citoyens, l'éducation aux risques numériques et l'adoption de bonnes pratiques sont devenues des compétences essentielles dans le monde connecté de 2025. La bataille contre la cybercriminalité est loin d'être terminée, et chaque incident renforce la nécessité d'une collaboration accrue entre les entreprises, les gouvernements et les individus pour construire un cyberespace plus sûr.