Cyberattaque Smartbox : noms et e-mails de clients potentiellement consultés, ce qu'il faut savoir

Le 3 novembre 2026, Smartbox a détecté un accès non autorisé à l'une de ses plateformes. L'entreprise l'a écrit à des clients, dans un courriel que plusieurs rédactions ont lu. Des noms et des adresses e-mail « pourraient avoir été consultées ». Selon Smartbox, les mots de passe des comptes et les coordonnées bancaires ne l'ont pas été. Le nombre de personnes n'est pas donné. La méthode non plus. À quelques semaines de Noël, période où l'on offre et où l'on réserve des coffrets cadeaux, le risque décrit par la presse est un message frauduleux qui connaît déjà votre nom.

Une cyberattaque, ici, veut dire qu'une personne est entrée dans un système informatique sans y être autorisée. Smartbox dit avoir détecté cette entrée le 3 novembre, et avoir pris des mesures pour empêcher de nouvelles connexions. Elle ne dit pas qui est entré, ni comment, ni pendant combien de temps.

Ce texte va plus loin que la revue technique du 8 novembre, qui résumait le message en quelques paragraphes. Le courriel original, objet « Information importante » dans les articles français, n'a pas été ouvert. Aucune phrase ci-dessous n'est donc recopiée depuis la boîte d'un client. Elle est attribuée à la rédaction qui la cite. Deux pages du site Smartbox ont, elles, été ouvertes : la charte sur les données personnelles, et le mode d'emploi pour enregistrer un coffret. Elles ne racontent pas l'attaque du 3 novembre. Elles disent ce que l'entreprise collecte d'ordinaire, et comment un bon s'utilise.

Consulter, copier, publier : trois mots qui ne disent pas la même chose

French Breaches écrit le 7 novembre 2026, à 13 h 04, que le spécialiste des coffrets cadeaux confirme une cyberattaque le 3 novembre, et que des noms et des e-mails pourraient avoir été consultés. Le mot « fuite » est dans le titre du message. La phrase qui suit reste au conditionnel.

La fiche liée à ce message, publiée le même jour, s'appuie sur un e-mail intitulé « Information importante ». Selon cette fiche, Smartbox indique avoir détecté le 3 novembre un accès non autorisé à l'une de ses plateformes, et avoir pris des mesures pour empêcher de nouvelles connexions. L'enquête serait en cours. Certaines informations pourraient avoir été consultées, notamment les noms et les adresses e-mail. L'attaquant n'aurait pas eu accès aux coordonnées bancaires ni aux mots de passe. Le nombre de clients n'est pas précisé. La méthode et la durée non plus, dans l'extrait que le site dit avoir consulté.

La fiche pose ensuite la distinction qui compte. Une consultation est envisagée : quelqu'un a pu lire ces informations. Une extraction, c'est-à-dire une copie emportée, n'est pas établie. Une diffusion, c'est-à-dire une publication ou un partage de cette copie, non plus. Le chapeau de la même fiche est moins prudent : il écrit qu'un accès « pourrait avoir exposé » des données. Exposer, dans l'usage courant, laisse entendre que les données sont sorties. Le corps, lui, ne retient pas cette sortie.

L'en-tête de la fiche va encore plus loin que le corps. Il affiche une date d'incident au 7 novembre 2026, le statut « Fuite confirmée par l'organisation », et des données listées comme « nom, prenom, adresses e-mail ». Le 7 novembre est le jour de la fiche. Le 3 novembre est la date que le corps attribue à la détection. Le mot « fuite », dans l'en-tête, suppose une copie. Le corps ne la retient pas. C'est le corps qui est suivi ici.

Fuites Infos, le 7 novembre, mis à jour à 21 h 16 sous la signature de Christophe Boutry, décrit le même courriel. Smartbox présenterait la liste comme non limitative : des noms et des adresses e-mail « pourraient avoir été consultés », parmi d'autres informations non détaillées. L'entreprise ne dirait pas, à ce stade, si des données ont été copiées. Elle préciserait que les coordonnées bancaires et les mots de passe n'ont pas été accessibles. Le statut que le site donne au dossier est « Confirmée par l'entreprise ». Ce statut porte sur l'attaque reconnue par Smartbox. Il ne transforme pas la consultation possible en fichier publié.

Le Dauphiné Libéré et Le Bien Public publient le même texte. La page, lue le 8 novembre, affichait une parution la veille à 17 h 37 et une mise à jour le matin à 8 h 38. Le journal cite la formule de l'entreprise, « pourraient avoir été consultées », et le « immédiatement pris des mesures ». Il écrit, en renvoyant à French Breaches, que rien n'indique à ce stade que les données aient été extraites ou diffusées. Le titre du journal, lui, parle d'une « fuite de données » et de noms et d'adresses « potentiellement exposés ». Le titre va plus loin que la citation.

Le même message, pas les mêmes phrases

Les rédactions ne citent pas un texte unique.

En français, l'objet rapporté est « Information importante ». Adnkronos, le 7 novembre à 18 h 45, sous la signature de Stefania Marignetti et Alessandro Pulcini, cite un courriel reçu le jour même par des clients, dont l'objet est « Comunicazione su un incidente di sicurezza dei dati », soit une communication sur un incident de sécurité des données. La phrase d'ouverture, traduite ici : « Cher client, nous vous écrivons pour vous informer que Smartbox a été victime d'une attaque informatique le 3 novembre 2026. » L'entreprise y dit avoir détecté un accès non autorisé à l'une de ses plateformes et avoir tout de suite pris des mesures. Suit la formule sur les données, traduite : « certaines données personnelles, y compris les noms et les adresses e-mail des clients, pourraient avoir été consultées. L'auteur de l'attaque n'a pas eu accès aux données des cartes de paiement ni aux mots de passe des comptes. »

DR, la radio publique danoise, sous la signature de Mads Vestergaard, confirme qu'un courriel est parti vers des clients. Dans le texte lu, Smartbox écrit que certaines données personnelles, dont les noms des clients et les adresses e-mail, peuvent avoir été accessibles à des personnes extérieures. Les informations de carte et les mots de passe n'ont pas été accessibles. La page danoise ne date pas l'attaque au 3 novembre. Elle ne parle ni d'un code, ni d'une autorité. Elle cite cette consigne : vous n'avez pas besoin de faire quoi que ce soit tout de suite, mais l'entreprise vous demande d'être attentif aux e-mails, aux appels et aux messages suspects, surtout s'ils demandent des informations personnelles ou des informations de paiement.

la Repubblica, le 7 novembre, mise à jour à 17 h 39, sous la signature d'Alessandra Ziniti, donne une version anglaise du même passage : certaines données personnelles, dont les noms et les e-mails, « may have been accessed », peuvent avoir été consultées, et l'auteur n'a pas eu accès aux données de carte ni aux mots de passe. Le titre de cet article dit pourtant « Data stolen », des données volées. Le vol n'est pas dans la citation. Le même papier raconte, à côté, une autre cyberattaque, contre le chantier du tunnel du Brenner, que l'entreprise de construction attribue à un groupe nommé Everest. Rien, dans les lignes consacrées à Smartbox, ne donne ce groupe comme l'auteur de l'accès du 3 novembre. Ce sont deux faits placés dans le même article.

Les prénoms ne sont pas dans toutes les citations. Le corps de French Breaches, Fuites Infos, Le Dauphiné, Adnkronos, DR et la Repubblica parlent de noms. Clubic, le 7 novembre à 14 h 45, sous la signature de Mélina Loupia, Cyberattaque.org, le 7 novembre à 18 h 25, et fuitededonnées.fr, mis à jour à 19 h 43, écrivent « noms et prénoms ». L'en-tête French Breaches aussi. Un message qui vous appelle par votre prénom est le scénario que Clubic décrit. Il suppose que le prénom faisait partie de ce qui a pu être lu. Toutes les citations ne le disent pas.

Le code des bons et l'autorité prévenue : les sources divergent

Fuites Infos signale deux copies du courriel, rédigées un peu différemment. L'une comporte une section sur un nouveau code PIN des bons cadeaux. L'autre indique que Smartbox a informé les autorités compétentes, « notamment la Commission de protection des données et les forces de l'ordre ». Le site écrit qu'on ne sait pas, à ce stade, si le nouveau code répond à une exposition de ces codes ou s'il s'agit d'une précaution.

Un code PIN, ici, n'est pas le code à quatre chiffres de votre carte bancaire. C'est un code secret court, associé dans ces articles aux bons cadeaux. Les textes qui parlent des coordonnées bancaires disent qu'elles n'ont pas été accessibles. Rien, dans les pages lues, ne dit que le code de votre carte a été changé, ni qu'il faut le modifier.

Le Dauphiné réunit, dans un seul récit, le nouveau code PIN sans modalités, l'information des autorités, et une consigne que la fiche French Breaches lue ne contient pas : aucune démarche immédiate n'est requise. Smartbox inviterait à se méfier des e-mails, appels ou messages qui demandent des informations personnelles ou bancaires. L'entreprise rappellerait qu'elle ne demande jamais le mot de passe d'un compte ou des coordonnées bancaires par e-mail, et conseillerait, en cas de message douteux, de ne pas cliquer et de la contacter directement. Le journal parle d'une « autorité chargée de la protection des données », sans le mot Commission, et sans le mot CNIL. La CNIL est l'autorité française qui contrôle l'usage des données personnelles. Ce sigle n'est pas dans la dépêche.

Le courriel italien cité par Adnkronos contient, lui, la Commission de protection des données et les forces de l'ordre, la mise à jour de la sécurité, et cette phrase, traduite : Smartbox ne vous demandera jamais de communiquer le mot de passe de votre compte ou les données de votre carte de paiement par e-mail. Si un message suspect semble venir de l'entreprise, ne cliquez pas sur les liens et contactez-la directement. Le code PIN n'est pas dans les extraits reproduits. La version anglaise de la Repubblica reprend la Commission et les forces de l'ordre, pas le code.

Clubic attribue le code PIN à French Breaches, et écrit que l'entreprise a prévenu les forces de l'ordre et la Commission de protection des données, « l'autorité chargée de faire respecter le RGPD en Irlande ». Le RGPD est le règlement européen sur les données personnelles. Clubic ajoute que Smartbox Group est une société de droit irlandais installée à Dublin, et que le régulateur irlandais pilote donc le dossier pour l'Union européenne, selon le guichet unique de ce règlement. Cette lecture du guichet unique est celle de Clubic. Elle n'est pas une phrase citée du courriel. Le mot « irlandaise » n'est pas non plus dans la citation de Fuites Infos, ni dans celle d'Adnkronos. Cyberattaque.org l'ajoute de son côté : « Commission de protection des données irlandaise ».

Vernam, page mise à jour le 7 novembre, va plus loin que ces citations. Le site dit s'appuyer sur une page d'aide Smartbox du 6 novembre 2026, intitulée « Informations concernant un récent incident de sécurité lié aux données ». Cette page n'a pas été ouverte pour cet article. Selon Vernam, elle dirait que les autorités informées comprennent la CNIL, et que, par précaution, un nouveau code de confirmation a été envoyé par e-mail, l'ancien n'étant plus valable. Clubic confirme l'existence d'une page d'aide, sans en donner la date, sans écrire CNIL dans le courriel, et sans écrire que l'ancien code est annulé. Tant que la page du 6 novembre n'est pas lue, ces deux précisions restent celles de Vernam.

La charte du site français, elle, a été ouverte. Elle ne décrit pas l'attaque. Elle présente l'exploitant du site : Smartbox Group Limited, Fourth Floor, Indigo Building, Whitaker Square, Sir John Rogerson's Quay, Dublin 2, D02 W529, Irlande. Le siège irlandais est donc celui que l'entreprise écrit sur sa propre page, pas seulement celui que la presse rappelle. La charte dit aussi qu'une plainte sur l'usage des données peut être déposée auprès du Commissaire à la protection des données irlandais, et auprès de la CNIL. C'est un droit général, écrit hors de l'incident. Ce n'est pas la preuve que le courriel du 3 novembre a notifié la CNIL.

Ce que l'entreprise dit collecter, en dehors de cet incident

La même charte décrit les informations qu'un client peut fournir en créant un compte, en achetant ou en vérifiant un coffret : le nom, la date de naissance, le numéro de téléphone, l'adresse e-mail, l'adresse de facturation, l'adresse de livraison, les détails de la carte de crédit, et des préférences, par exemple pour un repas. Un coffret offert peut aussi conduire à transmettre les coordonnées du bénéficiaire. La charte le dit : c'est à la personne qui offre de s'assurer que le bénéficiaire n'y voit pas d'objection.

Le message sur l'attaque, tel qu'il est cité, ne reprend pas cette liste. Il nomme les noms et les e-mails. Fuites Infos ajoute que l'entreprise présente cette liste comme non limitative. Le téléphone, l'adresse postale ou la date de naissance ne sont donc ni confirmés ni exclus par les articles qui s'en tiennent à cette formule. Les écrire comme « consultés » serait aller au-delà du message.

Sur la carte bancaire, la charte tient deux phrases distinctes, et aucune des deux n'est le compte rendu de l'attaque. L'une dit que les détails de carte peuvent figurer parmi les informations fournies lors d'un achat. L'autre dit : « Nous ne conservons pas les informations de paiement que vous nous communiquez pour régler un cadeau ou une mise à niveau. » Un troisième passage dit que les coordonnées bancaires ne sont pas communiquées aux partenaires qui réalisent l'expérience, l'hôtel ou le restaurant. Le courriel d'incident, lui, affirme que l'attaquant n'a pas eu accès aux coordonnées bancaires. Ce sont trois énoncés différents. Ils vont dans le même sens pour le client : le message ne décrit pas une copie de votre carte. Ils ne remplacent pas une vérification technique, que ces pages ne fournissent pas.

Le nom de la plateforme touchée n'est pas donné. Une plateforme, ici, est un site ou un outil en ligne. Comme le nom manque, les textes ne permettent pas de dire si c'était le site public, un outil interne, ou le système d'un prestataire. Un prestataire est une entreprise qui traite des données pour le compte d'une autre. Aucune des pages lues sur l'attaque du 3 novembre ne dit que l'accès a eu lieu chez un prestataire. Le dire serait inventer le scénario d'un autre dossier.

Clubic écrit que le groupe vend aussi des coffrets sous les marques Dakotabox, Cadeaubox et Bongo, et que l'entreprise ne précise pas si les comptes ouverts sur ces sites sont concernés. Cyberattaque.org cite Dakotabox et Bongo parmi les marques commercialisées, et écrit la même limite : le groupe ne détaille pas si les autres marques sont touchées. Rien, dans ces articles, ne dit qu'elles le sont. Rien ne dit non plus qu'elles ne le sont pas.

Clubic ajoute que Smartbox vend en France, en Belgique, en Suisse et dans d'autres pays européens, sans dire où vivent les personnes dont le nom a pu être lu. L'en-tête de fuitededonnées.fr affiche « France et Belgique ». Le corps du même article écrit que les pays ne sont pas précisés. L'en-tête n'est pas un périmètre donné par l'entreprise.

Ce que ça change si vous offrez, recevez ou réservez un coffret

Smartbox confirme un accès le 3 novembre. Elle envisage que des noms et des e-mails aient pu être lus. Elle ne dit pas qu'ils ont été copiés, elle ne dit pas qu'ils ont été publiés, et elle ne dit pas combien de clients sont concernés. Ne pas recevoir le courriel ne prouve pas que votre nom est hors de ce périmètre. Le recevoir ne publie pas non plus un chiffre. Les articles parlent de clients. Ils ne disent pas si la liste vise la personne qui a acheté, la personne qui a créé un compte, ou la personne qui a seulement reçu le coffret.

Le coffret n'est pas décrit comme annulé. Aucune des pages lues ne demande de le jeter, de le racheter, ou de payer une seconde fois pour qu'il reste valable. La consigne répétée est qu'aucune démarche immédiate n'est requise. Un message qui, au contraire, exige une action dans l'heure sort de cette consigne.

Le risque concret, si un nom et un e-mail ont été lus, est un message plus crédible que d'habitude. French Breaches donne des prétextes possibles : un problème de coffret, une réservation, une activation, un remboursement. Fuites Infos en ajoute un, tiré du contexte même de l'incident : activer un nouveau code, ou confirmer un bon. Clubic en ajoute d'autres : un coffret qui expirerait bientôt, ou un dédommagement après la cyberattaque, avec un lien vers une fausse page de connexion. Cyberattaque.org parle d'une connexion urgente ou d'un paiement supplémentaire. Aucune de ces pages ne décrit une campagne de ce type déjà constatée après le 3 novembre. Cyberattaque.org l'écrit : aucune utilisation frauduleuse des données liée à cette attaque n'est confirmée. Ce sont des scénarios, pas un relevé de messages reçus.

Votre nom, même exact, ne prouve donc pas que l'expéditeur est Smartbox. Le fait que ce soit la saison des coffrets ne le prouve pas non plus. L'hameçonnage, parfois appelé phishing, consiste à se faire passer pour un organisme connu afin d'obtenir des données personnelles ou des coordonnées bancaires. La fiche Service-Public, vérifiée le 10 avril 2026, range dans ce délit les messages alarmistes qui contiennent un lien, et les appels. Ici, l'organisme imité serait Smartbox, ou l'établissement où l'expérience doit avoir lieu.

Un supplément peut exister dans le parcours normal, et ce n'est pas la même chose qu'un paiement demandé par un lien reçu. La page « Comment réserver » dit que choisir un partenaire « Smartbox Plus », signalé par une épingle jaune, conduit à échanger le chèque contre une version supérieure, avec un supplément. Ce paiement se fait dans le parcours ouvert depuis le compte. Il ne se décide pas dans un message qui vient d'arriver.

Juin 2026 : une autre annonce, que l'entreprise n'a pas confirmée

Fuites Infos, dans son article du 7 novembre, écrit qu'une revendication visant Smartbox a été publiée en juin 2026 sur un forum cybercriminel, et qu'aucune source connue ne la relie à l'attaque déclarée le 3 novembre. Cyberattaque.org, le même jour, écrit qu'aucun élément disponible ne permet d'affirmer que les deux incidents sont liés, qu'ils concernent les mêmes systèmes, ou qu'ils viennent de la même faille.

L'article de juin, daté du 11 juin 2026 et mis à jour le 13 septembre, est un autre texte. Son statut est « Revendiquée », pas « Confirmée par l'entreprise ». Il s'appuie sur une annonce du 10 juin : environ 60 500 comptes, et un second fichier d'environ 202 000 entrées présentées comme des documents signés électroniquement. Les données annoncées iraient du nom et de l'e-mail jusqu'à des identifiants de connexion et des jetons d'authentification, des preuves techniques de connexion. Fuites Infos écrit : « Smartbox n'a pas confirmé ces éléments à ce stade. » L'article présente les titulaires d'un compte sur smartbox.com comme possiblement concernés.

Cyberattaque.org, en revenant le 7 novembre sur sa propre enquête du 11 juin, décrit un autre périmètre pour les mêmes ordres de grandeur : plus de 60 500 comptes et 202 000 enregistrements de contrats, qui semblaient concerner des partenaires commerciaux et des outils internes, avec des références à Salesforce et à Adobe Sign, plutôt que les personnes qui achètent un coffret. Aucune confirmation officielle n'avait été identifiée. Les deux lectures de juin ne disent donc pas qui est dans le fichier. Elles disent toutes les deux que Smartbox ne l'a pas confirmé. Le message de novembre, lui, parle de clients, de noms, d'e-mails, et de mots de passe qui n'auraient pas été accessibles. Il ne mentionne pas juin. Mélanger les deux dossiers ferait dire à l'entreprise de novembre ce que la revendication de juin affirmait, et que l'entreprise n'a pas repris.

Le Dauphiné cite aussi, dans la même dépêche, une annonce d'Illicado, une autre société de cartes cadeaux, quelques jours plus tôt. fuitededonnées.fr écrit qu'aucune source n'établit un lien entre les deux affaires. Ce focus ne rouvre pas Illicado. Le dossier est traité à part dans un article du 6 novembre.

Le code du chèque-cadeau se saisit sur le site, pas dans un lien

La page de réservation décrit deux informations, à ne pas confondre avec un mot de passe de compte ni avec un code de carte bancaire. Le numéro de chèque-cadeau a 9 chiffres. Le code d'activation en a 3. La même page l'appelle aussi code de confirmation. Ils sont au dos du chèque, dans la version papier, ou en bas du PDF pour un e-coffret, le coffret reçu par fichier.

Pour utiliser le coffret, la page demande d'abord de l'enregistrer sur un compte, depuis le bouton « J'ai une Smartbox » ou la page d'enregistrement. Une fois enregistré, le chèque permet de voir les partenaires, la date de fin de validité, et la garantie perte et vol. L'étape suivante, si vous réservez une expérience, affiche les coordonnées du partenaire. La page dit alors de lui communiquer le numéro de chèque-cadeau et le code de confirmation. Ce geste est celui du mode d'emploi : vous contactez l'établissement dont les coordonnées sont dans votre compte, après avoir ouvert le site vous-même. Ce n'est pas le geste inverse, celui d'une personne qui vous appelle et vous demande de dicter ces codes.

Clubic le formule pour l'appel et le SMS : ne communiquez pas le numéro du chèque et le code de confirmation à quelqu'un qui vous contacte, parce qu'avec ces deux identifiants une autre personne peut réserver à votre place. La page Smartbox ne contredit pas ce conseil. Elle réserve ces identifiants au partenaire que vous joignez depuis le compte.

Pour une expérience Smartbox Plus, la même page dit que le numéro et le code de confirmation sont mis à jour, et qu'il faut présenter le dernier numéro le jour venu. Un changement de code peut donc exister dans un échange vers une offre supérieure. Ce n'est pas, sur cette page, une mesure liée à l'attaque.

Le code PIN annoncé dans une partie des copies du courriel reste sans mode d'emploi dans French Breaches, Fuites Infos, Le Dauphiné et Clubic. Clubic précise que Smartbox n'a pas dit si ce PIN s'ajoute au numéro et au code de confirmation, ni à quelle date. Vernam, en s'appuyant sur la page d'aide non ouverte ici, parle d'un nouveau code de confirmation déjà envoyé, et d'un ancien code qui ne vaudrait plus. Le mot n'est déjà pas le même : PIN d'un côté, code de confirmation de l'autre. Tant que la page n'est pas lue, la version prudente est celle des citations : un nouveau code est évoqué dans certaines copies, sans que l'on sache s'il remplace l'ancien, s'il s'y ajoute, ou s'il s'agit d'une précaution. Un lien reçu à l'improviste n'est pas l'endroit où le saisir. L'adresse à ouvrir est smartbox.com, tapée soi-même, ou l'application déjà installée.

Que faire

La consigne de l'entreprise, là où elle est citée, est qu'aucune démarche immédiate n'est requise. Le courriel danois le dit dans une phrase. Le Dauphiné, Fuites Infos, Clubic, Cyberattaque.org et fuitededonnées.fr le rapportent aussi. Changer de carte bancaire, jeter le coffret ou payer pour le « débloquer » ne figure dans aucune de ces citations.

• Ne pas ouvrir le lien d'un message inattendu, même s'il vous appelle par votre nom, même s'il parle d'un coffret, d'une réservation, d'un remboursement, d'un code nouveau ou de la cyberattaque elle-même. Cybermalveillance.gouv.fr, fiche mise à jour le 26 octobre 2026, le dit pour tout message de ce type : aucune société sérieuse ne demande ses données bancaires ou ses mots de passe par message ou par téléphone. Smartbox le dit pour son propre nom, dans les citations du Dauphiné, de Clubic et d'Adnkronos.
• Ouvrir soi-même smartbox.com, ou l'application déjà installée. Regarder l'état du chèque et sa date de validité depuis là. Clubic le recommande explicitement. Placer le pointeur sur un lien, sans cliquer, affiche l'adresse réelle : la fiche Cybermalveillance et la fiche Service-Public décrivent ce geste. Une lettre qui change dans l'adresse suffit à faire un faux site.
• Ne pas dicter le numéro à 9 chiffres ni le code à 3 chiffres à quelqu'un qui vous a contacté. Les communiquer au partenaire dont le numéro est dans votre compte, comme le dit la page de réservation, est un autre geste. Un code reçu par SMS après une saisie de carte ne se dicte pas non plus.
• Si un paiement est parti par un lien, ou si une carte a été saisie, faire opposition auprès de la banque, par le numéro au dos de la carte ou par l'application de la banque déjà installée. La fiche Service-Public le demande pour contester les opérations. La fiche Cybermalveillance aussi. Conserver le message. Une opposition ne se décide pas en rappelant le numéro qui vient d'appeler.
• Le mot de passe du compte Smartbox n'a pas été accessible, selon l'entreprise, et Clubic écrit que Smartbox ne demande pas de le changer. Si vous l'avez quand même saisi sur une page ouverte depuis un message, la fiche Cybermalveillance demande de le changer sur ce service, puis partout où le même mot de passe servait, à commencer par la messagerie. Un mot de passe réutilisé est le point que Clubic souligne, comme précaution, pas comme une consigne de l'entreprise.
• En cas de doute sur un message, contacter Smartbox sans passer par le lien. Clubic donne l'adresse info@smartbox.com comme celle indiquée dans le courriel. La charte, pour une question sur vos données, donne une autre adresse, DPO@smartbox.com. Les deux ne se remplacent pas : l'une est celle qu'un article attribue au courriel d'incident, l'autre est celle de la charte pour les droits d'accès, de rectification ou d'effacement.

Les guichets de signalement ne reçoivent pas le même objet. La fiche Service-Public et la fiche Cybermalveillance les séparent. Un courriel suspect se signale à Signal Spam. Un SMS se signale au 33700, par texto au 33700 ou par le formulaire de la plateforme : un message WhatsApp ou un e-mail ne se transfère pas à ce numéro. L'adresse d'un faux site, copiée sans s'y connecter, se signale à Phishing Initiative, qui peut faire bloquer la page dans les navigateurs. La plainte, si de l'argent est parti ou si quelqu'un se sert de votre identité, se dépose au commissariat ou à la gendarmerie, ou par courrier au procureur, y compris contre X si l'auteur est inconnu. La fiche Cybermalveillance ajoute deux numéros : le 116 006, France Victimes, sept jours sur sept de 9 h à 19 h, et le 0 805 805 817, Info Escroqueries, les jours ouvrés de 9 h à 18 h 30. Les deux sont indiqués comme gratuits sur cette fiche.

Déposer une plainte auprès de la CNIL est un droit que la charte de Smartbox décrit pour l'usage des données, et que Clubic rappelle pour une personne qui habite en France. Ce n'est pas la démarche que le courriel présente comme immédiate. Le courriel, dans les citations, parle d'abord de vigilance, et d'un contact direct avec l'entreprise.

Aucun groupe n'est nommé comme l'auteur de l'accès du 3 novembre dans les pages qui s'en tiennent au courriel. Clubic écrit, en renvoyant à French Breaches, qu'aucun groupe n'a revendiqué l'attaque, et que rien ne permet de savoir si des données circulent sur un forum. fuitededonnées.fr le redit. La page French Breaches ouverte pour cet article ne contient pas cette phrase. Elle est donc rapportée comme la lecture de Clubic, pas comme une ligne relue sur la fiche.

Ce qui reste non chiffré, après ces lectures, est volontairement répété. Pas de nombre de clients. Pas de nom de plateforme. Pas de durée. Pas de méthode. Pas de copie établie, pas de publication établie. Pas de réponse de l'entreprise, dans les textes lus, sur Dakotabox, Cadeaubox ou Bongo. Pas de mode d'emploi unique pour le nouveau code. Le geste qui ne dépend d'aucune de ces inconnues est le même : un lien reçu ne sert pas à payer, à « réactiver » un coffret, ni à saisir le code du bon.