# Smartbox : un accès du 3 novembre a pu exposer des noms et des e-mails

> La marque parle de données qui pourraient avoir été consultées. Elle dit que les mots de passe et les coordonnées bancaires ne l’ont pas été.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/smartbox-acces-noms-emails-3-novembre-2026
- Auteur : Kelvyn
- Publié le : 8 novembre 2026 (2026-11-08T04:40:53.006Z)
- Rubrique : Cybersécurité
- Sujets : RGPD, données personnelles, Hameçonnage, Smartbox, coffrets cadeaux
- Langue : français

Smartbox a écrit à ses clients qu’un accès non autorisé, détecté le 3 novembre 2026 sur l’une de ses plateformes, a pu permettre de consulter des noms et des adresses électroniques.

## À retenir

- La marque parle de données qui « pourraient avoir été consultées ». Elle ne dit pas qu’elles ont été copiées, ni combien de clients sont concernés.
- Smartbox assure que l’attaquant n’a eu accès ni aux coordonnées bancaires ni aux mots de passe des comptes.
- Deux rédactions du courriel circulent : l’une évoque un nouveau code PIN des bons, l’autre la saisine de l’autorité irlandaise et des forces de l’ordre.
- Aucune démarche immédiate n’est demandée. Le risque décrit est celui d’un message frauduleux qui connaît le prénom du destinataire.

## Ce que le courriel dit, et ce qu’il laisse ouvert

Le message, repris le 7 novembre 2026 par [Clubic](https://www.clubic.com/actualite-638200-cyberattaque-smartbox-les-donnees-personnelles-de-clients-exposees.html) et par [Fuites Infos](https://fuitesinfos.fr/article/2026-11-07-smartbox), porte l’objet « Information importante ». Smartbox Group Limited, société de droit irlandais qui édite la marque, y explique avoir détecté ce jour-là un accès non autorisé à l’une de ses plateformes, sans dire laquelle, et avoir aussitôt pris des mesures pour empêcher toute nouvelle connexion. L’enquête interne est présentée comme toujours en cours.

Selon les premiers éléments de cette enquête, certaines données personnelles ont pu être consultées, dont les noms, les prénoms et les adresses électroniques associés aux comptes. Fuites Infos précise que la liste est présentée comme non limitative. La formule reste conditionnelle : « pourraient avoir été consultées ». Rien, dans les textes publics lus, n’établit qu’un fichier circule sur un forum. Aucun groupe n’a revendiqué l’attaque, note Clubic en citant FrenchBreaches.

L’entreprise assure en revanche un point négatif, celui-là sans conditionnel dans les reprises : l’attaquant n’a pas eu accès aux coordonnées bancaires ni aux mots de passe. Elle ne demande donc pas de changer le mot de passe du compte. Elle ne publie ni le nombre de personnes concernées, ni les pays, ni la durée de l’accès, ni la méthode. Elle ne dit pas non plus si les comptes ouverts sous les marques Dakotabox, Cadeaubox et Bongo sont dans le périmètre. Aucune page d’aide publique trouvée le 8 novembre au matin sur smartbox.com ne reprend ces faits : la source reste le courriel aux clients, tel que ces deux rédactions le citent.

## Deux versions du même avertissement

Fuites Infos dit connaître deux copies, rédigées un peu différemment. L’une comporte un passage sur un nouveau code PIN des bons cadeaux, sans expliquer s’il répond à une exposition de ces codes ou s’il s’agit d’une précaution, ni à quelle date il s’appliquerait. L’autre indique que Smartbox a informé les autorités compétentes, « notamment la Commission de protection des données et les forces de l’ordre ». Clubic présente cette saisine de l’autorité irlandaise, compétente pour le guichet unique du RGPD puisque le groupe est établi à Dublin, comme un fait. Le client français peut aussi saisir la CNIL, qui travaille alors avec son homologue.

Le schéma rappelle d’autres avis où une enseigne prévient que des données clients ont pu être consultées, puis alerte sur l’hameçonnage qui suit. [LDLC](https://klynlabs.eu/articles/ldlc-piratage-donnees-clients-cnil-phishing) avait déjà décrit ce décalage entre le fichier et les faux messages.

## Ce qu’un client peut vérifier sans cliquer

Smartbox écrit qu’aucune action immédiate n’est nécessaire, et demande de se méfier des courriels, des appels et des messages, surtout s’ils réclament des informations personnelles ou bancaires. La marque dit ne jamais demander par e-mail le mot de passe d’un compte ni des coordonnées bancaires. Un nom associé à une adresse réelle permet pourtant d’écrire à un client en l’appelant par son prénom, à quelques semaines de Noël, en invoquant un coffret qui expirerait, un nouveau code à activer, ou un dédommagement après l’attaque.

Le réflexe décrit par Clubic est de ne pas ouvrir le lien du message et de taper soi-même l’adresse du site pour vérifier un coffret et sa date de validité. Le numéro d’un chèque cadeau et son code de confirmation ne se dictent pas à quelqu’un qui appelle : avec ces deux identifiants, une réservation peut être faite à la place du titulaire. En cas de doute, l’adresse indiquée dans le courriel repris par Clubic est info@smartbox.com. Le dispositif public cybermalveillance.gouv.fr recense par ailleurs les signes d’un hameçonnage.

## Sources

- [Clubic, Mélina Loupia](https://www.clubic.com/actualite-638200-cyberattaque-smartbox-les-donnees-personnelles-de-clients-exposees.html), 7 novembre 2026.
- [Fuites Infos, Christophe Boutry](https://fuitesinfos.fr/article/2026-11-07-smartbox), 7 novembre 2026, mis à jour le soir.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/smartbox-acces-noms-emails-3-novembre-2026