Fuite de données LDLC : les clients exposés au phishing, que faire ?

Depuis le 2 octobre 2026, LDLC prévient des clients qu'un accès non autorisé à l'un de ses systèmes a pu exposer leur nom, leurs adresses postale et e-mail, leurs numéros de téléphone et des données de compte. RIB, cartes et mots de passe ne seraient pas touchés. Le risque immédiat : des faux messages « LDLC » très crédibles.

LDLC, revendeur lyonnais de matériel informatique et high-tech, compte parmi les grands sites marchands français pour les composants, ordinateurs et périphériques. Si vous y avez acheté une carte graphique, un portable ou un simple câble, vous avez probablement un compte client. Ce nouvel incident est le quatrième recensé chez l'enseigne depuis 2021, et c'est précisément cette répétition qui change la nature du risque pour vous. Voici ce que l'on sait, ce qui reste flou, et les gestes à faire dans l'ordre.

Que s'est-il passé chez LDLC ?

Le message envoyé aux clients, dont des extraits ont été publiés par Next le 2 octobre 2026, indique qu'un « acte malveillant a permis un accès non autorisé à l'un de nos systèmes d'information ». L'entreprise précise que cet accès est « susceptible d'avoir entraîné la consultation de certaines données » et reconnaît que ces informations « pourraient être utilisées pour des tentatives de fraude et de hameçonnage (phishing) ».

LDLC dit avoir isolé la partie concernée de son infrastructure, revu la stratégie d'accès correspondante et notifié la CNIL, comme l'impose l'article 33 du RGPD. Le choix du mot « consultation » est important : il décrit un accès possible aux données, sans affirmer qu'elles ont été copiées. À la date de cet article, aucun groupe n'a publiquement revendiqué l'attaque et aucun fichier n'a été signalé en vente. Cela ne prouve pas qu'il n'existe pas de copie : la prudence consiste à se comporter comme si les données circulaient.

Les données concernées, ligne par ligne

• Identité et civilité : nom, prénom, type de salutation (Madame, Monsieur) et langue du client.
• Coordonnées : adresse postale, adresse e-mail, téléphone fixe et mobile, numéro de fax s'il avait été renseigné.
• Données de compte : code client technique, type de client (particulier ou professionnel), date d'inscription et date de dernière connexion au compte web.
• Non concernés selon LDLC : RIB, numéros de carte bancaire, identifiants de connexion et mots de passe.

Ce qui reste inconnu

Quatre éléments manquent dans la communication de l'enseigne : le nombre de personnes touchées, la date de l'intrusion, la méthode utilisée et l'identité de l'attaquant. Il est donc impossible de dire aujourd'hui si l'ensemble de la base client est concerné ou seulement une partie. Si vous n'avez reçu aucun message, cela ne vous met pas forcément hors de cause (voir la FAQ en fin d'article).

Pourquoi un quatrième incident aggrave le risque

Pris isolément, ce fichier ressemble à beaucoup d'autres. Mais LDLC n'en est pas à sa première fuite, et les lots successifs peuvent s'additionner :

• 2021 : le groupe Ragnar Locker met en vente 29,5 Go de données internes de l'entreprise (selon Next).
• Fin février 2024 : un groupe revendique les données d'environ 1,5 million de clients des boutiques physiques (nom, prénom, téléphone, e-mail, adresse postale). LDLC confirme l'attaque le 1er mars, comme le rapportait Le Monde Informatique le 5 mars 2024.
• Décembre 2024 : nouvelle fuite de données clients annoncée, sans périmètre précis.
• Octobre 2026 : l'incident actuel, qui touche cette fois aussi des données de compte en ligne.

Un client qui achète à la fois en boutique et sur le site peut donc figurer dans plusieurs fichiers. Les fraudeurs ont l'habitude de croiser ces lots, puis de les compléter avec des fiches achetées ailleurs, notamment chez des courtiers de données qui revendent légalement des coordonnées à des fins marketing. Le résultat est un profil plus complet que chaque fuite prise séparément : votre adresse actuelle, votre numéro de mobile, depuis quand vous êtes client, et si vous l'êtes à titre professionnel.

Ce dernier point mérite attention. La mention « particulier ou professionnel » permet de trier le fichier : un indépendant ou une PME qui commande son matériel chez LDLC devient une cible idéale pour la fausse facture ou le faux changement de coordonnées bancaires d'un fournisseur.

Moins vos coordonnées sont présentes dans des bases commerciales, moins un escroc peut enrichir ce fichier. C'est pour réduire ce réservoir que vous pouvez faire adresser des demandes d'effacement RGPD à plus de 100 courtiers de données, avec relance de ceux qui tardent à répondre. Notre dossier sur les courtiers de données et ce qu'ils revendent explique d'où viennent ces fiches.

À quoi ressemblera un faux message « LDLC » ?

Le scénario attendu n'est pas un piratage de votre ordinateur, mais un message qui vous amène à donner vous-même ce que les pirates n'ont pas obtenu : votre mot de passe, votre carte, votre RIB. Voici un exemple type construit à partir des seules données exposées :

• Il réutilise l'incident réel pour justifier la démarche : c'est l'argument le plus efficace des semaines qui suivent une fuite.
• Il cite votre code client et votre date de dernière connexion, deux informations qui figurent dans le périmètre consulté. Leur présence ne prouve rien.
• Il impose un délai (« sous 48 h ») et promet un geste commercial pour vous faire agir sans réfléchir.
• Il demande une carte bancaire pour « vérifier » une identité. Aucun marchand n'a besoin de votre carte pour confirmer qui vous êtes.

La même logique vaut pour le téléphone : un faux conseiller qui annonce un remboursement ou une commande suspecte, puis demande un code reçu par SMS. Les ressorts de ce type d'appel sont détaillés dans notre article sur le faux conseiller bancaire et l'usurpation de numéro.

Donnée exposée, risque concret, parade

Le plan d'action, par ordre de priorité

Les mesures ci-dessous s'appuient sur les recommandations de LDLC et sur la fiche réflexe hameçonnage de Cybermalveillance.gouv.fr. Elles valent que vous ayez reçu le message ou non.

Aujourd'hui

• 1. Cherchez le message de LDLC dans votre boîte, courriers indésirables compris, et conservez-le : c'est votre preuve d'être concerné.
• 2. Fixez-vous une règle sans exception : pour toute démarche LDLC (commande, retour, SAV, remboursement), tapez vous-même l'adresse du site ou passez par l'application. Aucun lien reçu ne sert de porte d'entrée.
• 3. Changez votre mot de passe LDLC par précaution, et surtout partout où vous utilisiez le même. LDLC affirme que les mots de passe ne sont pas concernés, mais un mot de passe réutilisé reste exposé à d'autres fuites.
• 4. Prévenez la personne qui gère les achats si vous êtes client professionnel : comptabilité, associé, assistant. Un faux changement de RIB vise rarement le titulaire du compte.

Cette semaine

• 5. Signalez chaque tentative : transférez les SMS frauduleux gratuitement au 33700 et les e-mails sur Signal Spam. Vos signalements alimentent les filtres des opérateurs.
• 6. Demandez des précisions par écrit si le message ne vous suffit pas : en vous adressant au contact « données personnelles » indiqué dans la politique de confidentialité de LDLC, vous pouvez demander quelles données vous concernant figuraient dans le périmètre (droit d'accès, article 15 du RGPD).
• 7. Faites le tri dans votre compte : supprimez le fax ou le téléphone fixe devenus inutiles, et si vous n'achetez plus chez LDLC, demandez la clôture du compte et l'effacement de vos données (article 17 du RGPD), sous réserve de ce que l'enseigne doit conserver pour ses obligations comptables.

Dans les mois qui viennent

• 8. Restez vigilant dans la durée. Les fichiers clients sont souvent exploités par vagues, parfois longtemps après l'incident. Un message « LDLC » en février mérite la même méfiance qu'aujourd'hui.
• 9. Surveillez vos relevés bancaires. En cas d'opération que vous ne reconnaissez pas, contactez votre banque au numéro figurant sur votre carte ou dans votre application et faites opposition.
• 10. Si vous êtes victime d'une escroquerie ou d'une usurpation, conservez les preuves et portez plainte. Notre guide usurpation d'identité : que faire dans les 48 heures détaille les démarches. Si LDLC ne répond pas à votre demande d'accès dans le délai d'un mois prévu par l'article 12 du RGPD, une plainte auprès de la CNIL est possible.

Votre adresse e-mail a peut-être déjà circulé dans d'autres fichiers que ceux de LDLC. Vérifiez gratuitement si votre e-mail figure dans des fuites connues, puis consultez notre article fuite de données : comment savoir si votre e-mail est concerné pour interpréter le résultat.

Peut-on obtenir réparation ?

Une fuite ne donne pas droit automatiquement à une indemnisation. La CNIL l'a rappelé le 2 octobre 2026 dans sa page « Violations de données personnelles : dans quels cas peut-on être indemnisé ? » : il faut réunir une violation du RGPD (par exemple des mesures de sécurité insuffisantes), un préjudice réel, matériel ou moral, et un lien de causalité entre les deux. La CNIL peut sanctionner une entreprise, mais elle ne verse pas de dommages et intérêts : seul un juge le peut. Elle recommande de conserver toutes les preuves, à commencer par la notification reçue et les messages frauduleux qui suivent.

À notre connaissance, aucune action collective n'a été annoncée pour cet incident à la date de publication. Ceci n'est pas un conseil juridique.

Questions fréquentes

Je n'ai pas reçu l'e-mail de LDLC : suis-je concerné ?

On ne peut pas l'exclure. LDLC n'a publié ni le nombre de clients touchés ni le périmètre exact du système consulté. Cherchez un message de LDLC daté du 2 octobre 2026 ou après, y compris dans les courriers indésirables. Sans réponse claire, vous pouvez demander par écrit à LDLC si vos données figurent dans le périmètre de l'incident (droit d'accès, article 15 du RGPD). Dans le doute, appliquez les mêmes précautions contre l'hameçonnage.

Dois-je changer mon mot de passe LDLC ?

Selon LDLC, les identifiants de connexion et les mots de passe ne sont pas concernés. Le changer reste une précaution rapide, et devient indispensable si vous utilisiez le même mot de passe sur d'autres sites. Faites-le en tapant vous-même l'adresse du site, jamais depuis un lien reçu par e-mail ou SMS après l'incident.

Mes coordonnées bancaires sont-elles en danger ?

LDLC indique que le RIB et les numéros de carte bancaire ne font pas partie des données concernées. Le risque bancaire vient plutôt des faux messages qui utiliseront vos coordonnées pour vous pousser à saisir votre carte ou votre RIB sur une page piégée, ou à valider une opération lors d'un faux appel. Ne communiquez jamais ces informations à la suite d'un contact que vous n'avez pas initié.

Puis-je obtenir une indemnisation après la fuite LDLC ?

Pas automatiquement. Selon la CNIL, une indemnisation suppose une violation du RGPD, un préjudice réel (matériel ou moral) et un lien de causalité entre les deux, et seul un juge peut l'accorder : la CNIL ne verse pas de dommages et intérêts. Conservez le courrier de LDLC et la trace de tout message frauduleux reçu ensuite. Ceci n'est pas un conseil juridique.