De Bijenkorf, la chaîne néerlandaise de grands magasins, a confirmé que des parties non autorisées ont eu accès aux données personnelles de ses clients lors d'une faille de sécurité chez son partenaire logistique CEVA Logistics début août. Cet aveu, publié le 11 septembre, met fin à des semaines de spéculations et révèle que la même intrusion a exposé les données appartenant aux clients de quatre autres grandes organisations : le détaillant en ligne Bol, la marque de lunettes Ace & Tate, la plateforme de mode Zalando et le groupe bancaire ING.

Ce que l'enquête a révélé

Selon De Bijenkorf, l'enquête interne de CEVA a établi que des acteurs inconnus ont accédé à des systèmes contenant des informations sur les clients. Le prestataire logistique gère l'entreposage, la préparation des commandes et les retours pour plusieurs détaillants, ce qui signifie qu'un seul compromis peut se répercuter sur plusieurs marques. De Bijenkorf a indiqué n'avoir été informé de l'accès confirmé que récemment, après avoir appris que l'incident était en cours d'enquête mais pas encore vérifié.

Le détaillant n'a pas précisé le nombre de clients concernés, ni les catégories de données exposées, à savoir noms, adresses, coordonnées bancaires, historiques de commandes. Bol, Ace & Tate, Zalando et ING ont chacun reconnu la faille dans des déclarations séparées, bien que l'ampleur varie. ING a déclaré que les données compromises étaient liées à un processus logistique spécifique et n'incluaient pas les identifiants bancaires de base ni les relevés de transactions.

Le risque lié à la chaîne d'approvisionnement devient réalité

L'incident illustre une faiblesse structurelle dans le commerce de détail et la finance européens : la concentration des données clients chez des opérateurs logistiques tiers qui échappent au contrôle réglementaire direct. CEVA, une filiale du groupe CMA CGM, opère sur tout le continent. Une faille dans l'un de ses établissements néerlandais a donc déclenché des notifications dans plusieurs juridictions en vertu du Règlement général sur la protection des données (RGPD).

En vertu de l'article 33 du RGPD, les responsables du traitement doivent notifier l'autorité de contrôle compétente dans les 72 heures suivant la prise de connaissance d'une faille. De Bijenkorf, Bol, Ace & Tate, Zalando et ING sont chacun responsables du traitement de leurs propres données clients ; CEVA agit en tant que sous-traitant. L'autorité néerlandaise, Autoriteit Persoonsgegevens (AP), a confirmé avoir reçu des notifications et évalue si les mesures de sécurité étaient adéquates.

Intensification du contrôle réglementaire

L'AP a déjà sanctionné des organisations pour des défaillances de la chaîne d'approvisionnement. En 2023, elle a infligé une amende de 3,7 millions d'euros à un fournisseur de télécommunications après qu'une faille chez un sous-traitant marketing a exposé les données des abonnés. Le régulateur a indiqué qu'il examinerait si les entreprises concernées ont mené un audit de conformité adéquat sur la posture de sécurité de CEVA et si les garanties contractuelles, obligatoires en vertu de l'article 28 du RGPD, ont été appliquées.

Un porte-parole de l'AP a déclaré que l'autorité « enquête sur les circonstances et les mesures prises par les responsables du traitement et le sous-traitant ». L'enquête pourrait entraîner des amendes allant jusqu'à 4 % du chiffre d'affaires annuel mondial pour chaque responsable déclaré négligent, bien qu'en pratique les amendes néerlandaises aient varié de quelques dizaines de milliers à quelques millions d'euros.

La position et la réponse de CEVA

CEVA Logistics a publié une brève déclaration reconnaissant l'intrusion et indiquant qu'elle avait « contenu l'incident, fait appel à des experts forensiques externes et notifié tous les clients affectés ». L'entreprise n'a pas divulgué le vecteur de l'attaque, qu'il s'agisse d'un rançongiciel, d'un vol d'identifiants, de l'exploitation d'une vulnérabilité ou d'une action interne, ni si les données ont été exfiltrées ou simplement consultées. Elle a déclaré être « en train de mettre en place des mesures de sécurité supplémentaires » sur l'ensemble de son réseau européen.

Les prestataires logistiques sont devenus des cibles attractives. En 2024, une attaque par rançongiciel contre un important transitaire européen a perturbé les dédouanements pendant des semaines. En 2025, une faille dans un centre de préparation de commandes basé au Royaume-Uni a exposé les données de commande de dizaines de marques de mode. Le mélange de technologies opérationnelles anciennes, de parcs informatiques fragmentés et de données personnelles de grande valeur fait du secteur un maillon faible persistant.

Une exposition variable selon les cinq marques

Les cinq organisations touchées sont confrontées à des profils de risque différents. Bol, le plus grand détaillant en ligne des Pays-Bas, détient les adresses, les moyens de paiement et l'historique des achats de millions de consommateurs néerlandais et belges. Zalando, qui opère sur 25 marchés européens, traite les retours et les préparations de commandes par l'intermédiaire de plusieurs partenaires logistiques ; la faille chez CEVA semble limitée à ses activités au Benelux. Ace & Tate, une marque de lunettes plus petite vendant directement aux consommateurs, dépend fortement de CEVA pour sa distribution européenne.

L'exposition d'ING est plus restreinte. La banque a déclaré que les données compromises concernaient un service logistique spécifique, compris comme étant la gestion physique des documents hypothécaires et de prêt, et qu'aucun identifiant d'authentification, numéro de compte ou données de transaction n'était concerné. Néanmoins, en vertu du RGPD, même des données personnelles limitées déclenchent des obligations de notification.

Communication avec les clients et prochaines étapes

De Bijenkorf a indiqué qu'elle contactait directement les clients concernés et qu'elle leur fournissait des conseils sur la vigilance face au hameçonnage, l'hygiène des mots de passe et la surveillance du crédit. Bol et Zalando ont publié des articles sur leurs centres d'aide. Ace & Tate a déclaré qu'elle enverrait un courriel aux clients dont les données se trouvaient dans les systèmes de CEVA affectés. ING a écrit aux clients concernés par les prêts hypothécaires et les prêts.

Aucune des cinq organisations n'a proposé d'abonnements gratuits de surveillance du crédit, une pratique courante lors de failles aux États-Unis mais rare en Europe. L'AP ne l'exige pas, bien qu'elle puisse le recommander lorsque le risque de vol d'identité est élevé. L'association de consommateurs Consumentenbond a appelé à une réponse coordonnée et à des délais plus clairs.

Implications plus larges pour le commerce de détail européen

La faille survient alors que la Commission européenne s'apprête à adopter la loi sur la résilience numérique (Cyber Resilience Act), qui imposera des exigences de sécurité obligatoires aux produits à éléments numériques, y compris le matériel de suivi logistique et les logiciels de gestion d'entrepôt. Elle coïncide également avec la date limite de transposition de la directive NIS2, qui étend la déclaration obligatoire des incidents aux grands prestataires logistiques classés comme entités essentielles.

Les analystes du secteur estiment que cette affaire accélérera la renégociation des contrats entre les détaillants et les partenaires logistiques. « Les responsables du traitement réalisent qu'ils ne peuvent pas externaliser la responsabilité », a déclaré un avocat spécialisé dans la vie privée dans un grand cabinet d'Amsterdam qui conseille sur la conformité au RGPD. « Attendez-vous à davantage d'audits, à des clauses de tests d'intrusion plus nombreuses et à des plafonds de responsabilité plus importants dans les accords de sous-traitance. »

Organisations

De Bijenkorf · CEVA Logistics · Bol · Ace & Tate · Zalando · ING