Revue tech du 8 novembre 2026 : piratage Beauty Success, cyberattaque Smartbox, revendication de fuite de données Aréas Assurances

Au 8 novembre 2026, le fil porte sur une possible exposition de données de clients Beauty Success après un incident chez un prestataire, sur une cyberattaque que Smartbox a signalée à ses clients, et sur une annonce de vente de données d'assurés Aréas Assurances. L'assureur ne confirme pas cette annonce sur la page ouverte pour cette revue. Ce qui suit s'appuie sur les textes ouverts. Quand un site relaie un courrier ou un avis que la revue n'a pas lu, la phrase le dit. Quand seul un vendeur avance un chiffre, la phrase le dit aussi.

Piratage Beauty Success : une possible exposition de données clients

French Breaches écrit le 7 novembre que l'enseigne confirme l'exposition potentielle de données de clients. Le message liste des noms, des dates de naissance, des adresses, des téléphones et des informations de fidélité, après le piratage d'un prestataire.

La fiche liée à ce message a été lue. Elle a été publiée le 5 novembre 2026. Une mise à jour, datée du 7 novembre à 19 h, tient en deux phrases. Beauty Success confirmerait une cyberattaque chez l'un de ses prestataires, avec un accès non autorisé à une base de clients. Des noms, des prénoms, des dates de naissance, des coordonnées et des informations de fidélité pourraient avoir été exposés. L'enseigne préciserait que les mots de passe et les données bancaires sont épargnés, que la faille a été corrigée, et que la CNIL a été informée. La CNIL est l'autorité française qui surveille l'usage des données personnelles. La mise à jour ne donne pas le lien de l'avis, ni le nom du prestataire, ni un nombre de personnes.

Un prestataire, ici, est une entreprise qui détient ou traite le fichier pour le compte de l'enseigne. Ce n'est pas forcément l'ordinateur de la parfumerie où la carte a été demandée.

L'en-tête de la même fiche affiche « 3 M » personnes, « Fuite confirmée par l'organisation » et une date d'incident au 5 novembre 2026. Le texte qui suit la mise à jour raconte autre chose. Le 4 novembre 2026, un vendeur sous le pseudonyme fentag aurait publié une annonce intitulée « FR Novi / Beauty Success ». Il affirmerait détenir les données de plus de 3 millions de personnes, présentées comme venant d'un programme de fidélité. La fiche décrit un échantillon : noms, prénoms, adresses e-mail, dates de naissance, dates de création de fiches dont certaines remonteraient à 2007. Elle écrit que cet échantillon ne montre ni mot de passe, ni numéro de téléphone, ni renseignement bancaire. Elle conclut : « À ce stade, aucune confirmation officielle de Beauty Success concernant cette revendication n'est établie à partir des éléments disponibles. » Le corps est celui qui est suivi pour le chiffre de 3 millions. L'en-tête ne l'est pas. La mise à jour du 7 novembre et cette conclusion du 4 novembre sont sur la même page. Elles ne disent pas la même chose. La première rapporte une confirmation de l'enseigne. La seconde dit que la mise en vente, elle, n'est pas confirmée.

Fuites Infos, article du 21 août 2026 mis à jour le 6 novembre 2026 à 13 h 45, décrit un avis d'information que le groupe NOVI, exploitant de Beauty Success, aurait mis en ligne en octobre 2026. Cet avis n'a pas été ouvert pour cette revue. Selon Fuites Infos, NOVI y reconnaît un accès non autorisé à la base de données clients, après un incident de sécurité chez un prestataire qu'il ne nomme pas, et indique avoir notifié la CNIL. Les catégories susceptibles d'avoir été exposées, toujours selon ce compte rendu, sont le nom et les prénoms, la date de naissance, l'adresse électronique, le numéro de téléphone, l'adresse postale, le numéro de carte de fidélité et le solde de points. Les données bancaires et les mots de passe en seraient exclus. L'avis ne donnerait ni volume, ni date d'incident, et ne mentionnerait aucune revendication.

La liste du message X, « adresses » et « téléphones », est donc plus précise que le mot « coordonnées » de la mise à jour French Breaches. Elle rejoint les catégories que Fuites Infos attribue à l'avis d'octobre. « La faille a été corrigée » figure dans la mise à jour French Breaches. Cette phrase n'est pas dans le résumé que Fuites Infos fait de l'avis.

La page politique de données de beautysuccess.fr, mise à jour au 16 mai 2024, présente NOVI comme responsable du traitement. Elle ne décrit pas cet incident. Un client qui cherche l'avis sur cette page ne l'y trouve pas.

Les millions de fiches : des chiffres de vendeurs

Le même article de Fuites Infos revient sur une mise en vente du 21 août 2026. Le vendeur annonçait 10 279 819 enregistrements, dont 5 169 727 présentés comme uniques, et diffusait un extrait de 10 000 lignes. Fuites Infos écrit que cet extrait porte sur des titulaires de carte de fidélité : civilité, nom, prénom, date de naissance, e-mail pour une partie des fiches, identifiant de carte, indicateurs de statut et de consentement. Il ne contiendrait ni adresse postale, ni téléphone, ni mot de passe, ni donnée bancaire. Les enregistrements de l'extrait iraient de l'année 2000 au 6 août 2026. Une part minoritaire concernerait des personnes mineures. À partir du taux de doublons mesuré sur cet extrait, Fuites Infos situe l'ensemble autour de 4,7 millions de personnes distinctes, et écrit que c'est une estimation, pas un décompte.

NOVI, dans le compte rendu de son avis, ne donne aucun de ces nombres. Le « plus de 3 millions » du 4 novembre est celui du vendeur fentag. Rien, dans les pages lues, ne démontre que l'annonce d'août, l'annonce du 4 novembre et l'incident reconnu en octobre sont le même fichier. Le téléphone et l'adresse postale sont dans la liste que Fuites Infos attribue à NOVI. Ils sont absents des échantillons décrits.

Ce que ça change : une arnaque peut citer la carte de fidélité

Pour une cliente, ou un client, de Beauty Success, le point utile est celui-ci. L'enseigne, selon les deux comptes rendus, envisage que des noms, des dates de naissance et des informations de fidélité aient pu sortir d'un fichier tenu par un prestataire. Elle ne publie pas le nombre de personnes. Un message qui parle de points qui expirent, d'un cadeau à récupérer ou d'une carte à vérifier, et qui demande de cliquer, de payer ou de dicter un code, ne se traite pas dans le fil du message. Le nom et la date de naissance, même exacts, ne le rendent pas authentique.

Le réflexe décrit par Fuites Infos vaut ici : ne pas ouvrir le lien reçu, passer par le site ou l'application déjà connus, et ne pas donner un code reçu par SMS, un mot de passe ou des coordonnées bancaires à quelqu'un qui appelle. Le téléphone et l'adresse, s'ils font partie des données réellement exposées, ouvrent la voie au SMS, à l'appel et au courrier. Les échantillons décrits ne les montrent pas. Le geste reste le même dans les deux cas. Pour un parent, Fuites Infos signale des fiches de mineurs dans l'extrait d'août : un message inattendu adressé à un enfant, au nom de l'enseigne, se traite de la même façon.

Cyberattaque Smartbox : des noms et des e-mails potentiellement consultés

French Breaches écrit le 7 novembre que Smartbox, spécialiste des coffrets cadeaux, confirme une cyberattaque détectée le 3 novembre, et que des noms et des e-mails de clients pourraient avoir été consultés.

La fiche, publiée le 7 novembre 2026, s'appuie sur un e-mail de l'entreprise intitulé « Information importante ». Ce courriel n'a pas été ouvert pour cette revue. Trois textes qui le décrivent l'ont été.

Selon French Breaches, Smartbox indique avoir détecté le 3 novembre 2026 un accès non autorisé à l'une de ses plateformes, et avoir pris des mesures pour empêcher de nouvelles connexions. L'enquête serait en cours. Certaines informations pourraient avoir été consultées, notamment les noms et les adresses e-mail. L'entreprise affirmerait que l'attaquant n'a pas eu accès aux coordonnées bancaires ni aux mots de passe. Le nombre de clients n'est pas précisé. La fiche écrit la distinction utile : une consultation est envisagée, une copie ou une publication de ces données n'est pas établie dans le message. Un passage visible du courrier annoncerait un nouveau code PIN pour les bons cadeaux, sans les modalités.

L'en-tête de cette fiche affiche pourtant une date d'incident au 7 novembre 2026 et le statut « Fuite confirmée par l'organisation ». Le 7 novembre est le jour de la fiche. Le 3 novembre est la date que le corps attribue à la détection. Le mot « fuite », dans l'en-tête, va plus loin que le corps, qui ne retient pas une extraction. Le corps est celui qui est suivi ici.

Fuites Infos, le 7 novembre, mis à jour à 21 h 16, décrit le même courriel et signale deux copies, rédigées un peu différemment. Smartbox présenterait la liste des données comme non limitative : des noms et des adresses e-mail « pourraient avoir été consultés », parmi d'autres informations non détaillées. L'entreprise ne dirait pas, à ce stade, si des données ont été copiées. Elle préciserait que les coordonnées bancaires et les mots de passe n'ont pas été accessibles. L'une des copies comporterait le passage sur le nouveau code PIN. L'autre indiquerait que Smartbox a informé les autorités compétentes, « notamment la Commission de protection des données et les forces de l'ordre ». Fuites Infos écrit aussi qu'une revendication visant Smartbox a été publiée en juin 2026, et qu'aucune source connue ne relie cette annonce à l'attaque déclarée le 3 novembre. Cette revendication de juin n'est pas rouverte ici.

Le Bien Public, le 7 novembre, cite le courriel de plus près. Smartbox y aurait « immédiatement pris des mesures » pour protéger son système. Certaines données personnelles, dont les noms et les adresses e-mail, « pourraient avoir été consultées ». L'attaquant n'aurait eu accès ni aux coordonnées bancaires ni aux mots de passe. Le journal reprend l'enquête, l'information des autorités, le nouveau code PIN sans modalités, et ajoute une consigne absente de la fiche French Breaches : aucune démarche immédiate n'est requise. Smartbox inviterait à se méfier des e-mails, appels ou messages qui demandent des informations personnelles ou bancaires. L'entreprise rappellerait qu'elle ne demande jamais le mot de passe d'un compte ou des coordonnées bancaires par e-mail, et conseillerait, en cas de message douteux, de ne pas cliquer et de la contacter directement.

Aucune de ces trois pages ne nomme la CNIL. La formule citée est « Commission de protection des données ». Le pays de cette autorité n'est pas précisé dans les textes lus.

Ce que ça change avant Noël, pour un coffret cadeau

Pour quelqu'un qui offre un coffret, qui en a reçu un, ou qui doit réserver l'activité, le changement concret est celui-ci. Smartbox confirme un accès non autorisé le 3 novembre. L'entreprise envisage que des noms et des e-mails aient pu être lus. Elle ne dit pas qu'ils ont été copiés, et elle ne dit pas combien de clients sont concernés. Un message qui parle d'un problème de coffret, d'une réservation, d'une activation, d'un remboursement ou d'un nouveau code PIN, et qui demande de cliquer ou de saisir une carte, ne se traite pas depuis ce message.

Le code PIN annoncé dans une des copies du courrier reste sans mode d'emploi dans les articles lus. Rien n'établit que des codes de bons ont été copiés, ni que le changement est une simple précaution. Un lien reçu à l'improviste n'est pas l'endroit où saisir ce code. Le site à ouvrir est celui déjà connu, smartbox.com, ou l'application déjà installée. Le Bien Public rapporte que Smartbox ne demande pas de mot de passe ni de coordonnées bancaires par e-mail, et qu'aucune démarche immédiate n'est exigée des clients.

Revendication de fuite de données Aréas Assurances : ce que le pirate affirme

French Breaches écrit le 7 novembre qu'un pirate affirme vendre les données personnelles de plus de 21 700 assurés d'Aréas Assurances, dont des noms, des dates de naissance, des numéros de Sécurité sociale, des contrats et des informations de couverture santé. Le verbe du message est « affirme ». Ce n'est pas une phrase de l'assureur.

La fiche, le même jour, porte le statut « Revendication crédible, non confirmée ». Le 7 novembre 2026, un utilisateur sous le pseudonyme webshell aurait proposé à la vente une base attribuée à Aréas Assurances. Selon lui, les fichiers contiendraient 26 347 enregistrements, concernant 21 732 assurés distincts après suppression des doublons. L'annonce viserait plusieurs catégories : santé, prévoyance, automobile et habitation. Parmi les personnes répertoriées, 8 767 disposeraient de droits de couverture santé actifs, et 13 412 auraient un statut de compte sur un portail en ligne. French Breaches écrit que ces chiffres sont uniquement ceux de l'annonce. Aréas Assurances ne les a pas confirmés.

Les champs annoncés comprennent les noms et prénoms, les dates de naissance, les numéros de Sécurité sociale avec leur clé de contrôle, les numéros de contrat, les numéros d'adhérent, des références de l'organisme assureur, des codes de régime et de gestion, l'état ouvert ou fermé des droits, leurs périodes de validité, et un statut de compte en ligne. Le numéro de Sécurité sociale est celui qui figure sur la carte Vitale. Il ne se change pas comme un mot de passe. French Breaches écrit qu'aucun mot de passe ni aucune donnée bancaire ne figurent dans les champs présentés, et que l'annonce ne démontre pas l'exposition de diagnostics médicaux ou de dossiers de soins. Des exemples accompagnent l'annonce. Ils ne suffisent pas, écrit le site, à établir l'authenticité de l'ensemble.

La fiche le dit en toutes lettres : aucune confirmation officielle d'Aréas Assurances n'est établie à partir des éléments disponibles. Il n'est pas possible d'affirmer que l'assureur a subi une cyberattaque récente. Les informations pourraient venir d'un prestataire, d'une copie réalisée plus tôt, ou d'une autre source. L'en-tête date pourtant l'incident au 7 novembre 2026 et range le secteur en « Santé ». Le 7 novembre est le jour de l'annonce. Le corps cite aussi la prévoyance, l'automobile et l'habitation. Le corps est suivi.

Fuites Infos, le 7 novembre à 13 h 05, classe le dossier comme « Revendiquée » et écrit qu'Aréas Assurances n'a pas confirmé publiquement ce piratage présumé. Le site arrondit les volumes : environ 26 300 lignes, environ 21 700 assurés. Il ajoute, ce que la fiche French Breaches lue ne formule pas ainsi, que le fichier serait proposé à un seul acheteur, et que des membres d'une même famille, y compris des mineurs, y figureraient. Ces précisions restent celles du compte rendu de l'annonce. Elles ne sont pas une confirmation.

La page d'actualités d'Aréas, ouverte pour cette revue, aligne des offres d'épargne, un rapport d'activité et des communiqués sur le fonds en euros. Elle ne contient pas de texte sur une fuite, un piratage ou cette annonce. Cela décrit la page lue. La liste affichée peut ne pas reprendre chaque page du site.

Ce que ça change : le risque d'arnaque si la revendication est reprise

Pour un assuré Aréas, le point utile est l'absence de confirmation. Cette revue ne dit pas que votre numéro de Sécurité sociale, votre contrat ou celui d'un enfant a été copié. Elle dit qu'un vendeur l'affirme, et que l'assureur ne le reprend pas sur la page ouverte.

Le risque concret, si cette annonce venait à circuler, est un message ou un appel plus crédible que d'habitude. French Breaches décrit le scénario : quelqu'un se présente comme l'assureur ou un organisme de protection sociale, cite un dossier, un remboursement ou une vérification de droits, et demande de confirmer des informations ou d'envoyer des documents. Un numéro de contrat exact, s'il figurait vraiment dans un fichier, ne transformerait pas cet appel en démarche légitime.

La vérification passe par un canal déjà connu : le numéro imprimé sur le contrat, l'agent général habituel, ou le site areas.fr ouvert soi-même. Vous ne dictez pas un numéro de Sécurité sociale, un code reçu par SMS, ni des coordonnées bancaires à la personne qui vient d'écrire ou d'appeler. Fuites Infos rappelle que l'Assurance maladie ne demande pas de coordonnées bancaires par e-mail ou par SMS, et qu'un doute sur des droits se vérifie en se connectant à son compte, plutôt qu'en suivant le lien du message.

IA : ChatGPT, Claude, Gemini et Perplexity ne citent pas les mêmes sites

Alex Groberman écrit le 7 novembre que, selon une analyse, près de 73 % des sites cités par ChatGPT, Claude, Gemini et Perplexity n'apparaissent que dans un seul de ces assistants, et 2,2 % dans les quatre. Vérifier sa visibilité dans le seul ChatGPT donnerait donc une image incomplète.

La page qui porte les chiffres a été lue. C'est une étude de Prefer, publiée le 19 septembre 2026. Le 13 septembre 2026, Prefer a posé les mêmes 80 questions à ChatGPT, Perplexity, Gemini et Claude, trois fois chacune. Cela fait 960 réponses. Les questions portaient sur la façon dont ces assistants cherchent sur le web et citent des pages. Elles ne portaient pas sur la santé, un achat ou un commerçant de quartier.

Sur les 1 329 sites différents cités, 966, soit 72,7 %, ne l'ont été que par un seul assistant. 29, soit 2,2 %, l'ont été par les quatre. Le « près de 73 % » du message du 7 novembre est cet arrondi. Reposer la même question ne ramène pas non plus les mêmes pages. La part de sites communs entre deux essais est, en moyenne, de 96 % pour Perplexity, 68 % pour Claude, 37 % pour ChatGPT et 35 % pour Gemini.

Le nombre de pages citées change aussi. Perplexity en cite en moyenne 19,48 par réponse, Gemini 8,64, Claude 4,58 et ChatGPT 3,05. Dans ce jeu de questions, Reddit est le site le plus souvent cité, 207 réponses sur 960, et Claude ne le cite pas. YouTube n'est cité que par Gemini, 113 réponses. Prefer écrit qu'un autre sujet pourrait donner un autre mélange de sources.

Pour quelqu'un qui utilise ces assistants, le changement concret est celui-ci. Une réponse de ChatGPT n'est pas « ce que dit Internet ». Claude, Gemini ou Perplexity peuvent s'appuyer sur d'autres pages pour la même question. La même question, reposée, peut aussi changer les pages affichées, surtout dans ChatGPT et Gemini. Quand la réponse compte, pour un symptôme, un achat ou une démarche, une seule capture d'écran ne suffit pas. Cette limite est mesurée ici sur des questions qui parlent des assistants eux-mêmes. Elle n'est pas une mesure de toutes les questions de la vie courante.

Google Discover : neuf sites français retirés du fil d'actualités

Un message du 7 novembre renvoie vers un article d'Abondance, publié le 6 novembre 2026 et mis à jour le 7. Discover, ici, est le fil d'articles qui s'affiche dans l'application Google, sans que l'on ait tapé une recherche.

Selon Abondance, qui s'appuie sur les relevés de 1492.vision, neuf domaines français ont disparu de ce fil en France, en trois vagues, entre le 3 novembre à 21 h 30 et le 4 novembre à 11 h. Ensemble, ils pesaient environ 2 % des articles servis par Discover en France. Les domaines cités sont lenergeek.com (énergie, chauffage), pleinevie.fr (retraite, jardin, vie pratique), modesettravaux.fr (jardin, maison), sciencepost.fr (science), journaldesseniors.20minutes.fr, trucmania.ouest-france.fr, maison.20minutes.fr, pause-maison.ouest-france.fr et mariefrance.fr. Les sites principaux ouest-france.fr et 20minutes.fr, ainsi que d'autres magazines de jardin ou de santé suivis dans le même relevé, restaient présents.

Le 5 novembre, des éditeurs touchés ont reçu un message de Google intitulé « Problèmes majeurs de spam sur le site ». Abondance a consulté une copie anonymisée. Google y dit avoir détecté que le site ne respecte pas ses règles concernant le spam, et avoir appliqué une action manuelle : une décision visant ces pages, distincte d'un simple recalcul automatique du fil. Le message parle des résultats de recherche. C'est la sortie du fil Discover qui a été visible en premier, dans la nuit du 3 au 4 novembre, avant le message du 5. Abondance écrit ne pas savoir si les neuf domaines ont tous reçu ce message, ni lequel des motifs prévus par Google s'applique à chacun. Le texte ne dit pas non plus que ces articles ont été écrits par une IA.

Pour une lectrice ou un lecteur, le changement concret est limité au fil. Des pages de Pleine Vie, de Modes & Travaux, de Marie France, ou des rubriques maison et seniors de 20 Minutes et d'Ouest-France, peuvent ne plus s'afficher dans l'application Google en France. Les articles ne sont pas décrits comme effacés des sites. On les ouvre en allant sur le site, ou en passant par le journal principal, qui restait dans le relevé. Au 5 novembre à 19 h, huit des neuf domaines n'étaient pas revenus dans le fil observé. lenergeek.com était réapparu à partir de 3 h 46 le 5 novembre. Abondance n'établit pas si cette absence d'une trentaine d'heures est la même mesure. La page a été mise à jour le 7 novembre à 15 h 32. Le décompte cité s'arrête au 5 novembre à 19 h.

Robots humanoïdes : deux magasins, selon un compte

Atoms Not Bits écrit le 7 novembre qu'une jeune entreprise passée par Y Combinator, un programme qui finance de jeunes entreprises, amène des robots humanoïdes, des robots à forme humaine, dans des magasins d'alimentation : remplir les rayons la nuit, préparer les commandes le jour. Le compte affirme que Theseus Robotics a déjà déployé des robots dans deux magasins, avec des capacités annoncées allant jusqu'à 400 articles remis en rayon par heure et jusqu'à 40 articles préparés par heure.

Le site de l'entreprise, lu pour cette revue, dit qu'elle fabrique des robots humanoïdes pour trois tâches : remettre les produits en rayon, faire tourner les stocks, préparer les commandes. Il ne donne ni un nombre de magasins, ni un débit, ni le nom d'une enseigne. Les deux magasins et les deux débits restent les chiffres du compte. Ils ne sont pas repris ici comme un fait établi.

Le reste du fil du 7 au 8 novembre s'adresse à des personnes qui fabriquent des sites ou des logiciels : fichiers de réglages, extensions, faille sur des équipements réseau, outils d'entraînement, montages de liens. Ces messages ne changent pas l'usage d'une carte de fidélité, d'un coffret cadeau ou d'un contrat d'assurance. Ils ne sont pas détaillés ici.