Aroma-Zone via Shipup : les coordonnées de clients exposées

Aroma-Zone, enseigne française spécialisée dans les cosmétiques naturels, les huiles essentielles et les produits de soin, a informé des clients d’une violation de données provenant de Shipup, son prestataire de suivi de livraison et de communication post-achat. Shipup a été touché par la campagne d’exploitation d’une vulnérabilité critique de Metabase, un outil d’analyse de données utilisé en interne. L’accès non autorisé a pu exposer des noms, prénoms, adresses e-mail et numéros de téléphone lorsqu’ils étaient renseignés. Les systèmes de paiement d’Aroma-Zone ne sont pas présentés comme compromis et les informations disponibles ne font pas état d’une exposition des mots de passe ou des coordonnées bancaires. L’incident illustre surtout le risque de chaîne de sous-traitance : une faille chez un prestataire peut toucher simultanément les clients de plusieurs enseignes. Les données récupérées peuvent notamment servir à construire des campagnes de phishing très crédibles autour de fausses livraisons ou de commandes.