Cyberattaque contre Co-op : les données de 6,5 millions de membres volées grâce à un appel

Au printemps 2025, des attaquants se sont fait passer pour des salariés afin d’entrer dans les systèmes de Co-op au Royaume-Uni, et ont copié les données de ses 6,5 millions de membres. Rayons vides et ventes en chute.

En avril 2025, quelques jours après Marks & Spencer, le distributeur britannique Co-op a été victime d’une cyberattaque. En juillet, l’entreprise a confirmé que les données personnelles de ses 6,5 millions de membres avaient été copiées.

Ce qui s’est passé

• Les attaquants se sont fait passer pour des salariés afin de convaincre le personnel de leur donner accès à des comptes.
• Ils ont copié un fichier contenant noms, adresses, e-mails, numéros de téléphone et dates de naissance.
• Selon Co-op, aucun mot de passe, numéro de carte bancaire ni historique d’achat n’a été pris, et les attaquants n’ont pas pu aller plus loin ni installer de rançongiciel.
• Le groupe DragonForce a revendiqué l’attaque ; le 10 juillet 2025, la National Crime Agency britannique a arrêté quatre personnes âgées de 17 à 20 ans.

Le coût

Les magasins ont manqué de produits pendant plusieurs semaines. Co-op a fait état d’un impact d’environ 206 millions de livres sur ses ventes et prévoyait un impact d’environ 120 millions de livres sur ses résultats annuels.

La même faille qu’à M&S

Comme chez Marks & Spencer, la porte d’entrée était humaine : un appel ou un message convaincant adressé à une personne capable de réinitialiser un accès. Les défenses techniques ne servent à rien si une usurpation bien préparée peut les contourner.

Ce qu’il faut faire

• Fixer une procédure stricte pour réinitialiser mots de passe et accès, avec une vérification d’identité qu’un appelant ne peut pas falsifier.
• Former les équipes d’assistance et de support aux tentatives d’usurpation.
• Limiter ce qu’un seul compte peut copier, et alerter en cas d’export important.
• Préparer un message pour les clients en cas d’exposition de leurs données.

Le meilleur pare-feu ne peut rien contre quelqu’un que l’on fait entrer soi-même.

Sources : communiqués de Co-op, PA Media via Hargreaves Lansdown, Grocery Gazette, Acronis, 2025.

Vous voulez un site et des données clients gérés avec des règles d’accès claires ? Décrivez votre projet dans notre formulaire d’estimation : nous vous répondons avec une estimation adaptée et les prochaines étapes.