Fuite de données Leroch Distribution (2026) : analyse RGPD

Le 12 août 2026, une publication mise en ligne sur un forum cybercriminel a revendiqué la diffusion d'un ensemble de fichiers attribués à Leroch Distribution, société française active dans l'importation, la commercialisation et la location de matériels agricoles. Estimé à environ 3,3 gigaoctets, ce lot s'inscrit dans une série d'incidents présentés par leurs auteurs comme la cinquième livraison d'une campagne visant des entreprises clientes de la plateforme BlgCloud. Les éléments décrits concernent principalement des documents internes et des adresses de messagerie professionnelle. Même si le volume de données à caractère personnel semble limité au regard d'autres compromissions récentes, un courriel du type [email protected] constitue bel et bien une donnée personnelle au sens du RGPD. L'incident déclenche donc un ensemble d'obligations précises pour le responsable de traitement, et expose les personnes concernées à des tentatives d'hameçonnage ciblé dont la crédibilité est décuplée par la présence de documents authentiques.

Que s'est-il passé : Leroch Distribution victime d'une violation de données

La revendication est apparue le 12 août 2026 sur un espace d'échange fréquenté par des acteurs malveillants. Aucun groupe identifié ni signature de rançongiciel connue n'accompagne la publication : il s'agit d'une mise à disposition de fichiers, sans demande de rançon publique et sans chiffrement revendiqué des systèmes de la victime. Cette modalité, dite de « leak sec », est aujourd'hui aussi fréquente que l'extorsion classique et pose des difficultés particulières, car elle prive l'entreprise de tout interlocuteur et de toute chronologie négociée.

Le point commun revendiqué entre les différentes livraisons de cette campagne est l'usage d'une même plateforme d'hébergement, BlgCloud. Si cette hypothèse se confirme, l'incident relèverait d'une compromission indirecte : la faille ne se situerait pas dans le système d'information de Leroch Distribution, mais chez un prestataire technique. Cette configuration est loin d'être anecdotique. Elle correspond au schéma de l'attaque par la chaîne d'approvisionnement, où un seul point d'entrée mutualisé permet d'atteindre plusieurs dizaines d'organisations clientes. Le référencement de l'incident aux côtés d'autres cas français est consultable via notre observatoire des fuites de données en France.

Sur le plan de la sensibilité, le corpus décrit — documents bureautiques et adresses professionnelles — ne comporte a priori ni donnée bancaire, ni donnée relevant de l'article 9 du RGPD (santé, opinions, données biométriques). La gravité intrinsèque est donc estimée faible. Cette appréciation ne doit toutefois pas être confondue avec une absence de risque : des documents commerciaux, des bons de commande ou des échanges contractuels renseignent précisément sur les relations d'affaires, les montants pratiqués et les circuits de validation internes. C'est exactement le matériau qui alimente les fraudes au faux fournisseur et au changement de RIB.

Obligations légales RGPD pour Leroch Distribution

Dès la prise de connaissance de la violation, l'article 33 du RGPD impose au responsable de traitement de notifier l'autorité de contrôle dans un délai de soixante-douze heures, sauf s'il est établi que la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. La question n'est donc pas de savoir si la gravité est « faible », mais si le risque est improbable. Compte tenu de la diffusion publique et non contrôlée des fichiers, cette exonération sera difficile à soutenir : la publication sur un forum ouvert écarte toute maîtrise ultérieure de la donnée. Le formulaire dédié est accessible sur le site de la CNIL, et une notification initiale peut être complétée par phases si l'analyse technique n'est pas achevée.

L'article 34 obéit à un seuil distinct et plus élevé : l'information individuelle des personnes concernées n'est due que lorsque la violation est susceptible d'engendrer un risque élevé. Pour un corpus limité à des documents et des adresses professionnelles, ce seuil n'est vraisemblablement pas atteint, et une communication générale aux partenaires peut suffire. La prudence recommande néanmoins d'avertir les interlocuteurs commerciaux du risque accru de courriels frauduleux se réclamant de l'entreprise.

L'article 33§5 s'applique quant à lui sans condition ni seuil : toute violation, notifiée ou non, doit être documentée dans un registre interne mentionnant les faits, les effets et les mesures correctives adoptées. C'est ce registre que l'autorité examine en priorité lors d'un contrôle, et son absence constitue à elle seule un manquement.

Sur le terrain des sanctions, une distinction est fréquemment mal comprise. Le défaut de notification ou de documentation relève du plafond inférieur prévu à l'article 83§4, soit 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. En revanche, un manquement à l'obligation de sécurité de l'article 32 — mesures techniques inadaptées, absence de chiffrement, gestion défaillante des accès — expose au plafond supérieur de 20 millions d'euros ou 4 % du chiffre d'affaires. Enfin, le recours à un hébergeur n'emporte aucun transfert de responsabilité : le contrat de sous-traitance de l'article 28 doit encadrer les garanties, et le responsable de traitement demeure comptable du choix de son prestataire.

Risques pour les personnes touchées et que faire

Le premier risque est l'hameçonnage ciblé. Disposer d'adresses professionnelles nominatives associées à de véritables documents d'entreprise permet de rédiger des messages contextualisés, mentionnant une référence de commande réelle ou un nom de contact exact. Le taux de réussite de ces campagnes est sans commune mesure avec celui du courriel générique.

Vient ensuite le bourrage d'identifiants : une adresse professionnelle réutilisée sur des services tiers devient un point d'entrée dès lors qu'un mot de passe apparaît dans une autre compromission. Enfin, l'usurpation d'identité professionnelle permet de se faire passer pour un salarié auprès de clients ou de fournisseurs, notamment pour détourner un règlement.

Les mesures utiles sont concrètes. Changez sans délai le mot de passe de la messagerie professionnelle ainsi que celui de tout service où il aurait été réutilisé. Activez l'authentification à deux facteurs sur la messagerie, les outils collaboratifs et les accès distants. Vérifiez l'exposition de votre adresse sur Have I Been Pwned. Instaurez une règle interne de rappel téléphonique pour toute demande de virement ou de modification de coordonnées bancaires. En cas de préjudice avéré, une plainte peut être déposée et une réclamation adressée à la CNIL.

Enseignements pour les entreprises similaires

Cet incident illustre une réalité que beaucoup de PME sous-estiment : externaliser l'hébergement ne revient pas à externaliser le risque. Quatre chantiers méritent d'être engagés en priorité. Le chiffrement des données au repos, d'abord, qui réduit fortement l'exploitabilité d'un lot exfiltré. L'authentification multifacteur généralisée, ensuite, sur l'ensemble des accès administrateurs et des interfaces exposées sur Internet. La segmentation du réseau et le cloisonnement des espaces de stockage, afin qu'une compromission unique ne donne pas accès à l'intégralité des archives documentaires. Enfin, des tests d'intrusion réguliers, incluant explicitement le périmètre hébergé chez les prestataires.

La directive NIS 2, transposée en droit français, élargit considérablement le nombre d'entités soumises à des exigences de gestion des risques cyber et de notification d'incident. De nombreuses entreprises de distribution et de logistique entrent dans son champ sans en avoir conscience, avec des délais de signalement de vingt-quatre heures pour l'alerte précoce. Un audit d'infrastructure permet de mesurer l'écart entre les pratiques existantes et ces obligations avant qu'un incident ne l'impose.

Questions fréquentes

Que faire si vous êtes client de Leroch Distribution ?

Considérez que toute correspondance reçue au nom de l'entreprise peut être imitée de façon crédible. Vérifiez systématiquement l'adresse d'expédition complète, refusez toute modification de coordonnées bancaires transmise par courriel et confirmez la demande par téléphone sur un numéro déjà connu. Modifiez les mots de passe des espaces clients concernés et activez l'authentification à deux facteurs lorsqu'elle est proposée.

Leroch Distribution doit-elle notifier la CNIL ?

La notification s'impose dans les soixante-douze heures dès lors que la violation est susceptible d'engendrer un risque pour les personnes. La diffusion publique de fichiers sur un forum cybercriminel rend l'exonération très difficile à justifier, même avec une gravité estimée faible. L'information individuelle des personnes au titre de l'article 34 dépend en revanche d'un risque élevé, seuil probablement non atteint ici. Dans tous les cas, l'inscription au registre interne des violations reste obligatoire.

Comment vérifier si vos données ont été exposées ?

Interrogez votre adresse de messagerie sur Have I Been Pwned et activez les alertes de notification. Exercez ensuite votre droit d'accès auprès de l'entreprise, qui doit vous préciser les catégories de données concernées. Surveillez enfin l'apparition de courriels inhabituels faisant référence à des dossiers ou des montants exacts : c'est le signal le plus fiable d'une exploitation en cours.