Afflelou : Emperador revendique et publie des données clients

Le groupe d'extorsion Emperador a inscrit l'enseigne d'optique et d'audition Alain Afflelou sur son site de fuite le 26 octobre 2026 et a commencé à diffuser un lot de données présentées comme des fichiers clients. Source primaire pour la revendication : la fiche de suivi du groupe sur ransomware.live, qui date la publication au 26 octobre 2026 à 21 h 52 UTC. Recoupement : la fiche Breachsense, qui note explicitement que les revendications publiées par les acteurs ne sont pas vérifiées. L'analyse du fichier diffusé a été menée par ZATAZ le 8 novembre.

À ce stade, Afflelou n'a pas communiqué publiquement sur cet incident. La revendication d'Emperador doit être traitée comme un point de départ d'enquête, pas comme une preuve d'exfiltration intégrale. Ni le périmètre total ni la réalité de la compromission ne sont confirmés par la société ou par un tiers indépendant.

Ce qui est diffusé

Selon l'analyse de ZATAZ, l'échantillon publié ne correspond pas au volume parfois avancé par les acteurs de fuite — il s'agit d'un extrait, dont les compteurs relevés sont les suivants :

• 921 fiches clients, chacune avec une adresse e-mail distincte.
• 1 379 entrées d'adresses postales.
• Dates de naissance, numéros de téléphone, genre déclaré, identifiants Salesforce et informations d'abonnement.
• 5 291 commandes, 5 281 expéditions, 4 181 numéros de suivi distincts.
• 8 371 opérations de paiement, dont 8 239 paiements par carte.
• 1 440 entrées de carte (1 424 distinctes après retrait de 16 doublons).

Cartes bancaires : la nuance que la formule « données bancaires exposées » écrase

Le détail qui change la lecture du dossier : les numéros de carte de l'échantillon sont masqués. D'après ZATAZ, seuls les six premiers et les quatre derniers chiffres apparaissent, le milieu étant remplacé par des X. Figurent à côté la date d'expiration, le réseau de la carte, le pays émetteur et des indicateurs 3D Secure. ZATAZ précise que ces références masquées ne signifient pas que des numéros de carte complets ou des cryptogrammes aient été volés.

Autrement dit, le format correspond à ce qu'un système marchand conserve légitimement pour le rapprochement des transactions, pas à un vol de données de paiement exploitables en l'état. La distinction compte pour la notification et pour le discours aux clients : un BIN (six premiers chiffres) plus les quatre derniers ne permet pas de rejouer une transaction, mais il enrichit un hameçonnage ciblé.

Le vecteur revendiqué

Le fichier contient, selon ZATAZ, des références à une API liée aux abonnements qui aurait répondu sans authentification, ainsi que des mentions d'un environnement de pré-production. ZATAZ qualifie ces éléments de pistes, pas de vulnérabilité exploitable confirmée : aucune méthode d'accès initial n'est démontrée dans le lot publié. Une API de gestion d'abonnements accessible sans contrôle d'accès, ou un environnement de pré-production exposé avec des données réelles, sont des causes racines plausibles et récurrentes — mais ici elles restent à l'état d'hypothèse tirée des artefacts.

Statut de vérification

• La revendication est corroborée par deux traqueurs indépendants (ransomware.live, Breachsense) qui relèvent la même inscription d'Emperador fin octobre.
• Le contenu n'est documenté que par l'analyse de ZATAZ sur un échantillon ; les compteurs ci-dessus en découlent et ne valent que pour cet extrait.
• La société n'a rien confirmé ni infirmé publiquement à propos de l'incident Emperador.
• La notification CNIL est obligatoire dans les 72 heures suivant la prise de connaissance d'une violation de données à caractère personnel. À la date de ce post, aucun avis public d'Afflelou ni de la CNIL sur cet incident n'est paru.

À ne pas confondre avec les épisodes antérieurs attribués à l'enseigne : la fuite d'avril 2025 via un prestataire CRM, et la mise en vente de septembre 2025 sur un forum (1 588 576 personnes annoncées pour Afflelou, aux côtés de Syma Mobile et du SNU). L'inscription d'Emperador est un événement distinct d'octobre-novembre 2026.

Que faire si vous êtes client Afflelou

1. Présumez vos coordonnées exposées — nom, e-mail, téléphone, adresse, historique de commandes. Traitez tout message « Afflelou » réclamant un paiement, une mise à jour de carte ou une confirmation de livraison comme un hameçonnage jusqu'à vérification par un canal officiel.
2. Pas de panique côté carte, mais surveillez. Le BIN et les quatre derniers chiffres ne permettent pas de rejouer un paiement. Surveillez néanmoins vos relevés et activez les alertes de transaction de votre banque ; signalez toute opération inconnue sans attendre.
3. Méfiez-vous du prétexte « remboursement mutuelle ». Les données d'abonnement et de commande rendent crédible un scénario de faux remboursement optique. Aucune complémentaire santé ne demande un numéro de carte par SMS ou e-mail.

Que faire si vous exploitez une plateforme e-commerce avec abonnements

1. Auditez les API d'abonnement pour l'authentification et l'autorisation. Tout endpoint qui renvoie des données client doit vérifier la session sur chaque requête. Une API « interne » ou « technique » laissée sans contrôle d'accès est une cause racine classique de fuite — qu'elle soit ou non celle d'Afflelou.
2. Interdisez les données réelles en pré-production. Les environnements de test exposés avec des bases de production sont une surface oubliée. Anonymisez ou synthétisez les jeux de données hors production.
3. Vérifiez ce que vous conservez sur les paiements. Conserver un BIN et quatre chiffres pour le rapprochement est courant et conforme ; conserver davantage sans raison l'est beaucoup moins. Cartographiez vos champs de paiement au regard du PCI DSS.

Contexte

Le secteur de l'optique française revient régulièrement dans les revendications de fuite. En mai 2026, le portail franchisés d'Optic 2000 était siphonné via une faille d'autorisation, 7 898 PDF de factures à la clé. L'enseigne Afflelou elle-même a déjà figuré dans deux épisodes en 2025. Le point commun n'est pas la sophistication technique : ce sont des chaînes de distribution grand public, riches en données clients et en interfaces métier connectées à des prestataires, où la surface applicative hors site vitrine — portails partenaires, API d'abonnement, environnements de pré-production — reste sous-testée par rapport au volume de données personnelles qui y transite.

Emperador est un groupe d'extorsion récent, observé pour la première fois à l'automne 2026. La prudence sur l'attribution reste de mise : une inscription sur un site de fuite établit qu'un acteur revendique un accès, pas que la victime a été compromise comme annoncé, ni que le volume brandi correspond à ce qui a réellement été exfiltré.