La Caverne des Jouets : près d’un million d’e-mails revendiqués, des empreintes de mots de passe examinées
PRODPRESS — 10 novembre 2026. À l’approche des achats de Noël, un cybercriminel utilisant le pseudonyme « ChimeraZ » prétend détenir plusieurs fichiers attribués à La Caverne des Jouets. L’annonce du 7 novembre mentionne 969 386 adresses e-mail et plus de 850 000 empreintes de mots de passe. Un média spécialisé déclare avoir vérifié certains échantillons, mais le volume total et la provenance des données restent inconnus.
Une annonce du 7 novembre 2026
ChimeraZ revendique la mise en vente d’une archive attribuée à la boutique en ligne de jouets. Selon Cyberattaque.org, l’auteur avance environ 9,36 millions de lignes réparties dans 73 fichiers, pour 4,5 Go, couvrant selon lui la période 2009–2026. Ces chiffres ne sont pas des mesures indépendantes des personnes touchées.
Quels éléments ont été examinés ?
Cyberattaque.org décrit l’analyse de neuf fichiers d’échantillons, avec notamment 124 entrées de comptes clients et des extraits de commandes, factures, adresses de livraison et e-mails transactionnels. Ces éléments montrent la structure d’un jeu de données présenté comme issu d’un système de commerce électronique. Ils ne démontrent pas l’intégrité de la base revendiquée.
Le point sensible : les mots de passe
Les enregistrements étudiés présenteraient des chaînes de 32 caractères hexadécimaux compatibles avec le hachage MD5. Il s’agit d’une méthode ancienne et aujourd’hui inadaptée au stockage sécurisé des mots de passe lorsqu’elle est utilisée sans protection robuste complémentaire. La présence de ces empreintes n’autorise pas à conclure automatiquement que les mots de passe ont été récupérés en clair ; elle justifie néanmoins des mesures de précaution, surtout en cas de réutilisation sur d’autres sites.
Le pirate évoque une revente à des expéditeurs de spam
ChimeraZ aurait déclaré avoir déjà vendu une copie à des acteurs cherchant à envoyer des messages indésirables. Cette revente n’a pas été authentifiée indépendamment. Si des historiques de commandes sont réellement disponibles, des messages imitant une livraison, un remboursement ou un paiement de cadeau pourraient devenir plus crédibles.
Que sait-on de la position de l’entreprise ?
Au 8 novembre, les sources examinées n’avaient identifié aucune confirmation officielle de La Caverne des Jouets concernant cette revendication. Aucun scénario précis d’intrusion ne peut être retenu. Un fichier historique, un prestataire ou une base issue d’un autre environnement sont des possibilités théoriques, non des causes établies.
Précautions pour les clients
- Si un mot de passe de cette boutique est réutilisé ailleurs, le changer sur tous les services concernés.
- Surveiller les e-mails et SMS de livraison prétendument liés à des commandes récentes.
- Ne jamais saisir ses coordonnées de paiement à partir d’un lien reçu par message inattendu.
- Privilégier l’activation de la double authentification lorsque le service le permet.
- Cyberattaque.org, 8–9 novembre 2026 — analyse d’échantillons
- Cyberattaque.org — suivi des alertes
- CNIL — conseils aux personnes concernées
- Données clients : Smartbox, Nature et Découvertes, Burda Style
- Douze nouvelles revendications à surveiller
Glossaire et méthode
MD5 : algorithme de hachage devenu insuffisant pour sécuriser les mots de passe. Empreinte : résultat d’une transformation cryptographique ; elle n’est pas le mot de passe lisible. Échantillon : sous-ensemble réduit qui ne valide pas un fichier complet. Hameçonnage : tentative d’obtenir des informations au moyen d’une fausse communication.
Sources
Information en cours de vérification : les 969 386 e-mails et 850 254 empreintes annoncés sont des chiffres revendiqués, non certifiés. PRODPRESS ne reproduit aucune donnée personnelle issue de ces échantillons. Illustration créée par IA.
