← Toutes les ressources

Fuite Flink : le compte d'un ancien salarié a suffi (05/10/2026)

Publié le 12 octobre 2026 · 7 min de lecture · CyberNovaLabs.io

Les identifiants d'un ancien salarié ont suffi pour entrer chez Flink le 25 septembre 2026. Les criminels ont d'abord réclamé 10 € à chaque personne fichée, puis 235 000 € à l'entreprise ; personne n'ayant payé, le fichier a été mis en vente le 5 octobre. Trois leçons transposables à toute PME des Pays-Bas, de Belgique, de France et du Luxembourg.

En bref

Le 25 septembre 2026, le service néerlandais de livraison de courses Flink a découvert une intrusion dans ses systèmes : d'après l'entreprise elle-même, les attaquants se sont connectés avec les identifiants compromis d'un ancien salarié^[1]. Les criminels ont ensuite réclamé 0,005 ETH, soit environ 10 €, à chaque personne fichée, et 100 ETH, soit environ 235 000 €, à Flink pour détruire le lot^[2]. Personne n'a payé : le 5 octobre 2026, les données ont été proposées à la vente au plus offrant^[3].

Si vous dirigez une PME aux Pays-Bas, en Belgique, en France ou au Luxembourg, retenez l'enchaînement plutôt que le nom de l'entreprise. Cette fuite de données commence par un compte oublié et se termine par une liste de clients en vente, en passant par deux obligations que beaucoup d'entreprises confondent encore.

Ce qui s'est passé, en trois temps

Premier temps, l'entrée. Flink attribue la fuite aux identifiants compromis d'un ancien collaborateur ; le compte a été bloqué dès la découverte^[1][2]. Deuxième temps, l'extorsion. Au lieu de ne viser que l'entreprise, le groupe a écrit directement aux personnes : environ 10 € en Ethereum pour éviter la publication de leurs données, et 235 000 € demandés à Flink pour tout supprimer^[2]. Troisième temps, la revente. L'ultimatum a expiré sans aucun paiement, et les attaquants ont alors mis le lot en vente^[3].

Sur le volume, restez prudent : les attaquants revendiquent les données d'un million de clients et de 13 000 salariés, un chiffre que Flink n'a pas confirmé^[2]. Sur la nature des données, en revanche, l'entreprise a été précise : noms, adresses e-mail, codes postaux et numéros de téléphone, et, pour une partie des commandes, des informations de livraison — étage, entrée, nom sur la sonnette, consignes laissées au livreur. Ni mots de passe ni données de paiement^[2].

Ce dernier détail mérite une seconde de réflexion. « Pas de données bancaires » rassure sur le plan financier, mais un fichier qui indique où vous habitez, à quel étage et quel nom lire sur la sonnette n'est pas un fichier anodin.

Le point d'entrée : un compte qui aurait dû être fermé

C'est la partie transposable sans effort à n'importe quelle PME. Un salarié part, son contrat se termine, son badge revient — et son accès au CRM, à la boîte partagée, au VPN ou à l'outil de logistique reste actif, parce que personne ne détient la liste complète de ce qu'il faut couper. Nous avons décrit le même mécanisme, identifiants volés et absence de double facteur, dans notre analyse du rapport de l'ANSSI sur l'attaque de la DGFiP : l'intrusion ne demande aucun exploit technique, seulement un compte resté vivant.

Le correctif n'est pas un projet, c'est une liste. Écrivez-la une fois, elle servira à chaque départ.

Deux garde-fous complètent la liste. D'abord le double facteur sur tout accès distant : il ne protège pas d'un compte oublié, mais il rend inutilisable un mot de passe récupéré ailleurs. Ensuite une revue trimestrielle des comptes actifs, confrontée à la liste du personnel présent — c'est le seul contrôle qui rattrape les oublis. Notre page cybersécurité pour PME détaille la démarche.

Fuite de données : deux obligations distinctes, l'autorité et les personnes

Le RGPD sépare nettement deux devoirs, et c'est là que les entreprises se trompent. L'article 33 impose de notifier la violation à l'autorité de contrôle dans les 72 heures après en avoir pris connaissance, sauf si elle est peu susceptible d'engendrer un risque. L'article 34 impose en plus d'informer les personnes concernées elles-mêmes, dans les meilleurs délais, lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés^[8]. Le premier devoir est administratif ; le second est celui que vos clients constatent.

Dans le cas Flink, plusieurs personnes dont les données circulaient ont déclaré à la presse néerlandaise n'avoir reçu aucune information individuelle de l'entreprise^[3]. L'Autoriteit Persoonsgegevens a de son côté conseillé aux personnes de partir du principe que leurs données avaient fuité et d'agir en conséquence^[2] — un conseil qu'une autorité ne formule que lorsque l'information n'est pas venue de l'entreprise.

À qui notifier, selon le pays :

Ne confondez pas ce circuit avec celui de NIS2, qui a ses propres délais et sa propre autorité lorsque votre entreprise entre dans son champ : aux Pays-Bas, par exemple, ces obligations relèvent de la Cyberbeveiligingswet et du régulateur compétent, pas de l'AP. Nous détaillons le périmètre néerlandais sur notre page NIS2 aux Pays-Bas. Un même incident peut donc déclencher deux déclarations distinctes.

Pour le détail pratique de la notification — ce qu'il faut écrire, et le piège du délai qui court dès la « prise de connaissance » —, voyez nos articles sur la fuite Jims et les obligations de notification et sur le délai de 72 heures quand la fuite vient d'un sous-traitant.

« Personne n'a payé » ne clôt pas l'incident

Le refus collectif de payer est une bonne nouvelle, et Flink a tenu la ligne : ne pas entrer en contact, ne pas négocier, déposer plainte^[2]. Mais la suite doit être dite sans détour : ce refus n'a pas détruit les données, il a seulement changé l'acheteur. Quelques jours plus tard, le lot était en vente^[3].

Conséquence opérationnelle pour vous : après une fuite, le risque ne décroît pas, il se déplace. Les listes revendues alimentent l'hameçonnage ciblé — un faux message qui cite votre dernière commande, son montant et votre adresse convainc bien mieux qu'un courriel générique. Prévenez donc vos clients de ce qui va leur arriver, et pas seulement de ce qui s'est passé : personne de chez vous ne leur demandera de payer quoi que ce soit en cryptomonnaie, et aucun versement à un maître chanteur n'est à envisager.

Prévenez aussi vos équipes. Les 13 000 salariés revendiqués dans ce lot rappellent qu'un fichier RH exposé touche votre propre personnel, qui recevra les mêmes messages.

Chez CyberNovaLabs.io

CyberNovaLabs.io accompagne les PME des Pays-Bas, de Belgique, de France et du Luxembourg sur ces deux points précis : fermer proprement les accès quand quelqu'un part, et savoir quoi déclarer, à qui et dans quel délai. Nous partons de vos outils réels, pas d'un modèle générique, et nous vous laissons la liste de départ et le brouillon de notification. C'est un engagement de moyens, pas une garantie de résultat. Parlons de votre cas en vingt minutes.

Sources

1. Security.NL — Klanten en personeel Flink afgeperst door criminelen na hack supermarkt (25/09/2026)
2. ICT Magazine — Klanten supermarkt Flink afgeperst na hack via oud-medewerker (28/09/2026)
3. NL Times — Hackers offer 1 million stolen Flink records to the highest bidder after extortion fails (05/10/2026)
4. Autoriteit Persoonsgegevens — Datalekken (autorité néerlandaise, consulté le 12/10/2026)
5. CNIL — Notifier une violation de données personnelles (autorité française, consulté le 12/10/2026)
6. Autorité de protection des données (APD/GBA) — espace professionnel (autorité belge, consulté le 12/10/2026)
7. Commission nationale pour la protection des données (CNPD), Luxembourg (consulté le 12/10/2026)
8. RGPD — règlement (UE) 2016/679, articles 33 et 34 (texte officiel, EUR-Lex)

À lire aussi