Violation de données du réseau clients de Loblaw en 2026

Loblaw a ouvert une enquête après avoir détecté une activité suspecte sur son réseau et a établi qu'un acteur criminel extérieur à l'entreprise avait accédé à des informations sur ses clients. L'avis de l'entreprise ne se limite pas à évoquer un accès possible : il indique que des données de base sur les clients ont effectivement été consultées. Il s'agit donc d'une violation confirmée de données à caractère personnel, et non d'une simple tentative d'attaque ou d'une vulnérabilité.

BleepingComputer a relayé de manière indépendante la déclaration de l'entreprise et comparé les champs concernés aux systèmes et aux données explicitement exclus. Au moment de la publication, aucun acteur malveillant n'avait revendiqué l'incident et aucune annonce proposant des données de Loblaw n'avait été trouvée sur des forums clandestins. Les nombres de personnes, les champs de données et les revendications d'acteurs malveillants non vérifiés ne sont pas retenus dans le périmètre de l'incident documenté publiquement.

Loblaw a confirmé que les champs concernés étaient les noms, les numéros de téléphone et les adresses e-mail. Même sans mots de passe, ces informations peuvent rendre plus convaincants des messages d'hameçonnage qui se font passer pour des communications d'un magasin, d'un compte de fidélité ou d'un service d'assistance à la clientèle. Les catégories de données de cette fiche restent limitées aux coordonnées de base mentionnées par l'entreprise.

L'avis n'indiquait pas que les trois champs étaient concernés pour chaque client, ni que tous les comptes de l'ensemble des enseignes de Loblaw étaient touchés. La formulation « certaines informations de base sur les clients » laisse ouverte la possibilité de différences d'un enregistrement à l'autre.

Loblaw a déclaré qu'à ce stade, son enquête n'avait révélé aucun élément indiquant que des informations financières, telles que les données de carte bancaire, des informations de santé ou des mots de passe de comptes avaient été compromis. Sa marque de services financiers PC Financial n'était pas non plus touchée. Ces limites évitent d'étendre indûment le périmètre de l'incident au sein d'un grand groupe de distribution qui comprend des activités de pharmacie et de services financiers.

La formule « aucun élément » décrit la conclusion de l'enquête à cette date et peut être révisée si de nouvelles constatations apparaissent. Le conseil de changer de mot de passe est une mesure de précaution pour la sécurité des comptes, et non une confirmation que des mots de passe ont été volés.

L'avis de Loblaw ne donnait ni nombre de clients, ni total d'enregistrements, ni répartition par marque. Le nombre de magasins de l'entreprise au Canada, ses effectifs et le nombre total de membres de services tels que PC Optimum ne permettent pas d'établir combien de personnes ont vu leurs informations consultées. L'organisation n'a publié aucun total vérifiable de personnes ou d'enregistrements concernés. L'absence de chiffre communiqué ne signifie pas que l'incident n'a eu aucun impact; elle signifie que les sources publiques ne fournissent pas de total fiable.

Les enseignes touchées et le nombre total de personnes concernées pourront être ajoutés si Loblaw, une autorité canadienne de protection de la vie privée ou une enquête fiable menée à son terme les publie. Il ne faut pas non plus supposer que le nombre d'enregistrements correspond au nombre de personnes, car un même client peut figurer dans les données de plusieurs marques ou dans plusieurs champs de coordonnées.

Loblaw a déclaré avoir circonscrit l'incident à une partie non critique du réseau et avoir automatiquement déconnecté tous les clients de leurs comptes par précaution. Les utilisateurs ont dû se reconnecter aux services numériques. Bien que l'entreprise n'ait trouvé aucun élément indiquant que des données financières, des données de santé ou des mots de passe étaient concernés, elle a conseillé aux clients de rester vigilants face aux communications suspectes.

Les clients devraient ouvrir l'application officielle ou saisir une adresse web connue plutôt que cliquer sur des liens contenus dans des e-mails ou des SMS inattendus prétendant provenir de Loblaw, Loblaws, PC Optimum ou d'une autre enseigne du groupe. Un mot de passe réutilisé devrait être remplacé par un mot de passe unique, et l'authentification multifacteur devrait être activée sur les services concernés qui la proposent.

La date de l'incident est établie à partir de la première activité technique vérifiable dans les sources publiques. Cette fiche décrit un accès non autorisé avéré dans une partie circonscrite du réseau; elle n'affirme pas que l'ensemble de l'infrastructure, des magasins ou des marques affiliées de Loblaw a été compromis.

Le périmètre confirmé se limite aux noms, aux numéros de téléphone et aux adresses e-mail de certains clients. Les conclusions disponibles ne font état d'aucune compromission des informations financières, des données de santé, des mots de passe ou des systèmes de PC Financial, tandis que le nombre total de personnes touchées reste inconnu. LeakData rapporte la qualification « de faible niveau » employée par l'entreprise sans minimiser le risque d'hameçonnage créé par l'exposition des coordonnées. En cas de message ou d'activité suspecte sur un compte, il convient d'en vérifier l'authenticité par le canal de contact officiel actuellement indiqué par l'organisation, sans utiliser les liens du message.