La Caverne des Jouets : près d’un million d’adresses e-mail de clients revendiquées sur le dark web

La boutique en ligne française La Caverne des Jouets se retrouve au centre d'une revendication de fuite de données qui tombe à quelques semaines de Noël. Le 7 novembre 2026, un pirate utilisant le pseudonyme ChimeraZ a annoncé la mise en vente d'une base de données attribuée au site caverne-des-jouets.com. Il affirme qu'elle contient plus de 9,3 millions d'enregistrements, dont près de 970 000 adresses e-mail et 850 000 empreintes de mots de passe. Le site spécialisé Cyberattaque.org a analysé des échantillons et confirme la présence de données personnelles bien réelles, alors que l'entreprise n'a pas encore réagi publiquement.

Ce que le pirate affirme vendre

Dans une publication datée du 7 novembre 2026 à 10 h 52, parue sur un forum fréquenté par les cybercriminels, ChimeraZ propose une base de données qu'il attribue à La Caverne des Jouets. Selon lui, les informations auraient été extraites sur une période allant de 2009 à 2026. L'ensemble représenterait 4,5 Go de données, réparties dans 73 fichiers CSV.

Le pirate avance les volumes suivants : 9 361 144 lignes au total, 969 386 adresses e-mail, 903 115 numéros de téléphone, 895 233 adresses postales et 850 254 empreintes de mots de passe MD5. Ces chiffres sont ceux du vendeur, non vérifiés dans leur intégralité. Une nuance compte : 9,3 millions de lignes ne font pas autant de personnes distinctes, car un même client peut apparaître dans plusieurs fichiers.

Ce que l'analyse des échantillons confirme

Cyberattaque.org s'est procuré et a analysé neuf fichiers d'échantillons diffusés par ChimeraZ. Ces fichiers comprennent des extraits de comptes utilisateurs, de factures, de colis, d'adresses de livraison et de courriers électroniques.

Le fichier des comptes clients contient 124 enregistrements exploitables, chacun associé à une adresse e-mail et à une empreinte de mot de passe de 32 caractères hexadécimaux, compatible avec le format MD5. On y trouve noms et prénoms, adresses e-mail et numéros de téléphone, adresses postales, dates d'inscription et de dernière connexion, factures, montants, références de commandes et informations d'expédition. Certaines inscriptions remontent à août 2009, et des dates de dernière connexion vont jusqu'au 22 octobre 2026.

Aucune donnée complète de carte bancaire n'a été identifiée dans les échantillons. Leur taille limitée ne permet toutefois pas d'exclure la présence d'autres informations dans la base revendiquée.

Le danger des mots de passe MD5

La présence de mots de passe hachés avec un format compatible MD5 est l'un des aspects les plus préoccupants de cette affaire. MD5 est un ancien algorithme de hachage qui n'est plus adapté à la protection des mots de passe. Il permet aux attaquants de tester très rapidement un grand nombre de combinaisons pour tenter de retrouver les mots de passe d'origine. Parmi les 124 empreintes examinées, plusieurs valeurs identiques apparaissent sur des comptes différents, et aucun champ de sel individuel n'est visible dans les fichiers.

Si les 850 254 empreintes revendiquées correspondent effectivement à des mots de passe MD5 récupérés sur le site, les conséquences pourraient dépasser largement La Caverne des Jouets. Les clients qui utilisent le même mot de passe sur leur messagerie ou sur d'autres services pourraient être exposés à des tentatives de connexion frauduleuses. C'est le principe du bourrage d'identifiants : un mot de passe volé sur un site est essayé tel quel sur d'autres comptes.

Des données déjà vendues pour du spam ?

Dans un échange concernant la vente des fichiers, ChimeraZ affirme que la base a déjà été vendue pour être utilisée dans des campagnes de spam. Cette déclaration n'a pas pu être vérifiée de façon indépendante, mais elle suggère que les informations pourraient circuler auprès de plusieurs acteurs.

Les historiques de commandes et les coordonnées de livraison pourraient permettre de construire des escroqueries particulièrement crédibles : un faux message sur une livraison de jouets, un remboursement ou un problème de paiement, en reprenant les véritables informations d'achat d'un client. Les confirmations de commande archivées pourraient aussi faciliter l'imitation des communications officielles de la boutique. À l'approche de Noël, ce risque d'hameçonnage est particulièrement préoccupant pour les achats de cadeaux en ligne.

Que faire si vous êtes client de la boutique

La première mesure est simple : changez votre mot de passe sur le site de La Caverne des Jouets, puis partout où vous utilisez le même. Choisissez un mot de passe long et unique pour chaque service important, en particulier votre messagerie. Activez ensuite la double authentification là où elle existe, à commencer par votre boîte e-mail.

Restez vigilant face aux messages qui parlent d'une commande, d'une livraison ou d'un remboursement. Vérifiez l'adresse de l'expéditeur, ne cliquez pas sur les liens reçus par e-mail ou par SMS, et rendez-vous directement sur le site officiel pour vérifier. Un message qui reprend vos vraies informations d'achat n'est pas forcément authentique. Pour signaler un message suspect, utilisez la plateforme Signal Spam, ou transférez un SMS douteux au 33700.

Ce qui reste à établir

Au 8 novembre 2026, aucune confirmation publique de La Caverne des Jouets concernant cette revendication n'a été identifiée. Le volume total annoncé, l'origine précise des fichiers et les circonstances de leur récupération restent à établir.

La structure des fichiers ressemble à celle d'une base de données de commerce électronique. Elle ne permet pas de déterminer la méthode employée pour les récupérer : compromission de l'administration, faille applicative ou accès illégitime à la base sont des scénarios possibles, mais non établis. La présence de données allant jusqu'en octobre 2026 ne démontre pas non plus que l'intrusion s'est produite à cette date.

La Caverne des Jouets est une boutique française de vente en ligne de jeux et jouets, proposant notamment Lego, Playmobil, Barbie et Corolle. La société, créée en 2012, est implantée à Attenschwiller, dans le Haut-Rhin.

Frequently Asked Questions

La fuite de données de La Caverne des Jouets est-elle confirmée ?

La revendication n'est pas confirmée par l'entreprise, qui n'a pas réagi publiquement au 8 novembre 2026. En revanche, Cyberattaque.org a analysé des échantillons et y a trouvé des données personnelles et des empreintes de mots de passe qui semblent bien provenir de la boutique.

Mes données bancaires sont-elles en danger ?

Aucune donnée complète de carte bancaire n'a été trouvée dans les échantillons examinés. Cela ne permet pas d'exclure totalement leur présence dans la base complète, mais rien ne l'indique pour l'instant. Surveillez vos relevés et signalez tout débit inconnu à votre banque sans attendre.

Que risque-t-on si son mot de passe a fuité ?

Le risque principal est la réutilisation. Si le même mot de passe sert sur d'autres comptes, des pirates peuvent essayer de s'y connecter avec les identifiants volés. Changez-le partout où il est utilisé, et activez la double authentification sur votre messagerie.