Fuite de données Intermarché : les arnaques qui vont suivre, et comment les reconnaître

Si vous commandez vos courses au Drive Intermarché, vous avez peut-être reçu un e-mail de l'enseigne ces derniers jours. Ou peut-être pas, alors que vos données figurent quand même dans la fuite. Voici ce qui s'est réellement passé, ce qui a été volé, et surtout ce que ça va produire dans les semaines qui viennent. Parce que la fuite en elle-même n'est pas ce qui devrait vous inquiéter : c'est ce que des escrocs vont en faire. Et dans ce cas précis, la nature exacte des données volées permet de prédire assez précisément la forme que prendra l'attaque suivante.

Ce qui est confirmé, et ce qui ne l'est pas

Le Groupement Les Mousquetaires a confirmé le lundi 3 août 2026 avoir été victime d'une cyberattaque visant son service Drive, survenue durant la dernière semaine de juillet. À ce jour, 287 605 clients ont été formellement identifiés comme touchés, sur une base d'environ deux millions d'utilisateurs du service. L'incident a été notifié à la CNIL et une plainte a été déposée. Le 6 août, le parquet de Paris a ouvert une enquête.

Un point mérite d'être posé clairement, parce qu'il circule beaucoup. Un cybercriminel revendique de son côté une base de 1 393 807 enregistrements, soit près de cinq fois le chiffre officiel. Cette affirmation émane de l'attaquant lui-même et n'est à ce jour ni vérifiée ni confirmée. Elle n'est pas invraisemblable, les investigations étant toujours en cours pour déterminer si d'autres utilisateurs sont concernés, mais elle reste une revendication. Nous la mentionnons parce qu'elle est publique, pas parce qu'elle est établie.

Ce qui a fuité, et ce qui n'a pas fuité

C'est le point le plus important de cet article, et celui qui va déterminer votre exposition réelle.

Les données compromises sont les noms et prénoms, les numéros de téléphone, les adresses postales, les dates de naissance, les numéros de carte de fidélité et des informations relatives aux commandes en ligne.

En revanche, et c'est une vraie bonne nouvelle, ne sont concernés ni les données bancaires, ni les mots de passe, ni les adresses e-mail, ni les montants des cagnottes de fidélité. Personne ne peut débiter votre carte avec ce qui a été volé. Personne ne peut se connecter à votre compte. Si vous cherchiez la raison de ne pas paniquer, elle est là.

Pourquoi l'absence d'e-mail change tout

Voilà l'analyse que je n'ai vue nulle part, et elle est déterminante pour savoir d'où viendra le danger.

Dans la quasi-totalité des fuites de données, l'exploitation passe par l'e-mail, parce que c'est le canal le moins cher et le plus automatisable. Ici, les adresses e-mail n'ont pas fuité, mais les numéros de téléphone si. Mécaniquement, les escrocs qui achèteront cette base ne pourront pas vous écrire par e-mail. Ils devront passer par le SMS et par l'appel téléphonique.

C'est une aggravation, pas un soulagement. Un SMS ou un appel a un taux d'ouverture et un taux de réponse sans commune mesure avec un e-mail, il arrive dans un canal où nous sommes beaucoup moins méfiants, et il autorise l'improvisation en direct face à vos objections. Concrètement : si vous êtes concerné, attendez-vous à être appelé ou à recevoir des SMS, pas à recevoir des e-mails frauduleux.

Le scénario le plus probable : l'appel qui sait tout de vous

Reprenez la liste des données volées et imaginez l'appel. L'interlocuteur connaît votre nom, votre adresse exacte, votre date de naissance, votre numéro de carte de fidélité, et il peut citer une commande que vous avez réellement passée. Aucun de ces éléments ne vient de vous, il les a tous sous les yeux.

Or c'est précisément ce mélange qui fait fonctionner l'arnaque au faux conseiller bancaire, l'une des plus efficaces qui existent. L'accumulation d'informations exactes produit un effet d'authentification puissant : on cesse de se demander à qui on parle. Le scénario type consistera à vous annoncer un problème sur une commande, un remboursement à traiter, ou un usage frauduleux de votre carte de fidélité, puis à vous demander de « vérifier » vos coordonnées bancaires ou de valider une opération.

Retenez la règle qui neutralise tout : connaître vos informations ne prouve rien. Depuis cette fuite, ces données sont entre les mains de gens que vous ne connaissez pas. Elles ne constituent plus une preuve d'identité, et elles n'auraient jamais dû en être une.

Le faux SMS de retrait Drive

La seconde forme attendue est plus industrielle. Le SMS de Drive est un message que tout client attend légitimement : votre commande est prête, votre créneau est confirmé, votre retrait est décalé. Il est court, fonctionnel, et personne ne l'examine.

Avec un fichier contenant numéro de téléphone, nom et historique de commandes, un escroc peut envoyer un message parfaitement plausible, au bon nom, mentionnant un montant crédible, avec un lien vers une fausse page de paiement. Le mécanisme est identique à celui du faux SMS de colis, à ceci près qu'il sera cette fois personnalisé, ce qui le rendra nettement plus difficile à repérer. La parade reste la même et ne demande aucune expertise : n'utilisez jamais le lien d'un SMS, ouvrez vous-même l'application ou le site officiel.

La date de naissance, la donnée qu'on sous-estime

Dans la liste des données volées, c'est celle qui attire le moins l'attention et qui a la durée de vie la plus longue. Un numéro de téléphone se change, une adresse aussi quand on déménage. Une date de naissance, jamais.

Or elle est encore utilisée par de nombreux services comme question de vérification d'identité au téléphone, seule ou combinée à l'adresse. Associée au nom et à l'adresse postale, elle constitue aussi une base solide pour une usurpation d'identité administrative. Ce n'est pas un risque immédiat et spectaculaire, c'est un risque de fond, qui rend l'ensemble du jeu de données réutilisable pendant des années. Une base de ce type ne s'exploite pas en une semaine : elle se revend, se recoupe avec d'autres fuites, et ressort longtemps après que l'affaire a quitté l'actualité.

Ce que vous ne risquez pas, et il faut le dire aussi

L'inquiétude coûte cher, et une part de celle qui circule en ce moment est infondée. Puisque ni les données bancaires ni les mots de passe n'ont fuité :

• Personne ne peut débiter votre carte avec ces données. Il n'y a pas d'urgence à faire opposition.
• Personne ne peut se connecter à votre compte Intermarché, aucun mot de passe n'a été compromis.
• Votre cagnotte de fidélité n'est pas exposée, les montants ne font pas partie des données concernées.

Changer votre mot de passe reste une bonne hygiène si vous le réutilisiez ailleurs, mais ce n'est pas une réponse à cette fuite précise. La vraie mesure de protection, ici, n'est pas technique. Elle est comportementale.

Les réflexes à adopter dès maintenant

• Traitez tout appel entrant se réclamant d'Intermarché comme non identifié. Raccrochez et rappelez vous-même le service client par le numéro figurant sur le site officiel.
• N'utilisez jamais un lien reçu par SMS, même si le message vous nomme correctement et cite une commande réelle.
• Ne communiquez jamais de coordonnées bancaires par téléphone ou par SMS. Aucune enseigne ne procède ainsi, quel que soit le motif invoqué.
• Méfiez-vous des e-mails prétendant vous informer de la fuite. C'est le paradoxe de ce dossier : les adresses e-mail n'ont pas fuité, mais l'enseigne a bien écrit aux clients concernés, ce qui ouvre un boulevard aux imitations de ce message.
• Prévenez vos proches âgés s'ils commandent au Drive. L'appel téléphonique cible en priorité les personnes les moins habituées à raccrocher au nez d'un interlocuteur poli.

Si vous avez déjà reçu un appel ou un SMS suspect

Ne vous reprochez rien, et agissez dans cet ordre. Si vous avez communiqué des coordonnées bancaires, appelez immédiatement votre banque et contestez explicitement une opération de paiement non autorisée au titre de l'article L133-18 du code monétaire et financier : cette formulation déclenche une procédure encadrée, là où « j'ai été victime d'une arnaque » n'ouvre qu'une réclamation ordinaire. La banque doit rembourser immédiatement, sauf à prouver une négligence grave de votre part.

Transférez ensuite le SMS frauduleux au 33700, sans rien y ajouter, pour que les opérateurs coupent le numéro émetteur. Si de l'argent est parti, déposez plainte en ligne sur THESEE, la plateforme dédiée aux escroqueries commises par internet ou téléphone. Attention, Pharos ne traite pas les arnaques, uniquement les contenus illicites : c'est l'erreur d'aiguillage la plus fréquente et elle fait perdre des semaines.

Ce que nous allons surveiller

Soyons transparents sur ce que nous savons et ce que nous ne savons pas encore. À l'heure où j'écris ces lignes, nous n'avons pas encore reçu de signalement mentionnant explicitement une arnaque exploitant cette fuite. C'est normal : entre l'exfiltration d'une base et sa mise en exploitation, il s'écoule généralement plusieurs semaines, le temps que les données soient revendues et intégrées à des campagnes.

C'est précisément pour cette raison que les prochains jours comptent. Si vous recevez un appel ou un SMS se réclamant d'Intermarché et qui vous paraît douteux, signalez-le, même si vous n'êtes pas tombé dans le piège, et même si vous n'êtes pas certain. C'est l'accumulation de ces signalements qui nous permettra d'identifier la vague dès son démarrage, de publier les numéros utilisés, et d'avertir les personnes appelées après vous. Sur ce dossier, la vitesse de la communauté sera notre seul avantage.