Fuite de données Supremebody : 2 026 personnes exposées

Une base de données présentée comme celle de Supremebody a été diffusée gratuitement le 27 juillet 2026 sur un forum cybercriminel, exposant les informations personnelles d'environ 2 026 personnes. Selon la publication, attribuée à une utilisatrice opérant sous le pseudonyme Sophia, l'échantillon mis en ligne contiendrait des noms et prénoms, des adresses e-mail, des adresses postales, des numéros de téléphone, des dates de naissance, des adresses IP ainsi que des mots de passe hachés. Bien que la gravité de cet incident soit estimée comme faible au regard du volume concerné, la combinaison de ces catégories de données suffit à alimenter des campagnes de hameçonnage ciblé et des tentatives de réutilisation d'identifiants. Pour l'entreprise mise en cause, une telle diffusion déclenche mécaniquement les obligations du RGPD, à commencer par la qualification de l'incident et l'analyse du risque encouru par les personnes concernées.

Que s'est-il passé : Supremebody victime d'une violation de données

La chronologie connue reste courte. Le 27 juillet 2026, un message publié sur un forum spécialisé dans l'échange de bases compromises propose en téléchargement libre un fichier revendiqué comme provenant du site Supremebody. L'auteur y joint un échantillon substantiel destiné à établir la crédibilité de sa publication — pratique courante sur ces espaces, où la réputation du diffuseur conditionne l'audience.

Aucun vecteur d'intrusion n'est documenté à ce stade : ni exploitation d'une vulnérabilité applicative, ni compromission d'un compte d'administration, ni accès via un prestataire tiers n'ont été confirmés. Cette absence de détail technique est habituelle dans les fuites diffusées gratuitement, où l'objectif relève davantage de la notoriété que du gain financier.

Sur le plan de la sensibilité, l'ensemble est hétérogène. Les mots de passe hachés offrent une protection très variable selon l'algorithme employé : un condensat moderne correctement salé résiste durablement, tandis qu'un hachage obsolète de type MD5 ou SHA-1 non salé se casse en quelques heures avec du matériel courant. Les dates de naissance associées aux adresses postales et aux numéros de téléphone constituent, elles, un socle d'identité difficilement révocable, contrairement à un mot de passe.

Obligations légales RGPD pour Supremebody

Dès la prise de connaissance de l'incident, l'article 33 du RGPD impose au responsable de traitement de notifier la CNIL dans un délai de 72 heures, sauf s'il peut démontrer que la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Ce seuil d'exemption est étroit : la présence de mots de passe et de données d'identification complètes rend la démonstration délicate, même pour un fichier de faible volume.

L'article 34 ajoute une obligation d'information individuelle des personnes concernées lorsque le risque est qualifié d'élevé. Ici, la diffusion publique et gratuite du fichier — donc son accessibilité illimitée — pèse lourdement en faveur de cette qualification, sauf si les mots de passe s'avèrent protégés par un hachage robuste.

Indépendamment de toute notification, l'article 33 §5 exige la tenue d'un registre interne des violations documentant les faits, leurs effets et les mesures correctives. Ce registre est le premier document réclamé lors d'un contrôle.

Le manquement aux articles 33 et 34 relève du plafond de l'article 83 §4, soit 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le plafond supérieur de 20 millions d'euros ou 4 % vise les atteintes aux principes du traitement et aux droits des personnes, notamment un défaut de sécurité caractérisé au titre de l'article 5.

Risques pour les personnes touchées et que faire

Trois risques dominent. Le hameçonnage ciblé d'abord : disposer du nom, de l'adresse postale et du téléphone permet de rédiger des messages crédibles usurpant l'identité du commerçant, d'un transporteur ou d'une banque. Le bourrage d'identifiants ensuite, si le mot de passe est réutilisé ailleurs et que son hachage cède. L'usurpation d'identité enfin, la date de naissance combinée à l'adresse constituant un jeu de réponses fréquemment exigé lors des vérifications téléphoniques.

Les mesures utiles sont immédiates : changer le mot de passe du compte concerné et de tout service où il aurait été réutilisé, activer l'authentification à deux facteurs partout où elle est disponible, surveiller relevés bancaires et notifications de connexion, et traiter avec méfiance tout appel ou courriel faisant référence à une commande passée. En cas de préjudice, une plainte peut être déposée auprès de la CNIL, sans préjudice d'une action en réparation devant le juge civil au titre de l'article 82.

Enseignements pour les entreprises similaires

Les incidents recensés sur le panorama des fuites de données en France suivent des schémas récurrents, et les contre-mesures sont connues. Le chiffrement au repos des bases clients, associé à un hachage moderne des mots de passe (bcrypt, scrypt ou Argon2 avec sel unique), réduit drastiquement l'exploitabilité d'une exfiltration. L'authentification multifacteur sur les accès d'administration et les interfaces d'hébergement ferme le vecteur le plus rentable pour un attaquant.

La segmentation réseau limite la latéralisation depuis un composant exposé vers le cœur de données, tandis que des tests d'intrusion réguliers révèlent les failles applicatives avant qu'elles ne soient découvertes par des tiers. Enfin, les entités entrant dans le champ de la directive NIS 2 doivent formaliser une gestion des incidents documentée, avec une chaîne d'alerte testée : l'improvisation est incompatible avec un délai de 72 heures.

Questions fréquentes

Que faire si vous êtes client de Supremebody ?

Modifiez sans attendre le mot de passe du compte, ainsi que celui de tout autre service où la même combinaison aurait été employée. Activez la double authentification sur votre messagerie principale, qui sert de clé de récupération à l'ensemble de vos comptes. Restez vigilant pendant plusieurs mois face aux sollicitations mentionnant votre adresse ou une commande, y compris par téléphone.

Supremebody doit-elle notifier la CNIL ?

Oui, sauf à démontrer l'absence de risque pour les personnes concernées, ce qui paraît difficile compte tenu de la diffusion publique du fichier et de la présence de mots de passe. La notification doit intervenir dans les 72 heures suivant la prise de connaissance de la violation, et l'incident doit dans tous les cas être consigné au registre interne.

Comment vérifier si vos données ont été exposées ?

Le service Have I Been Pwned permet d'interroger une adresse e-mail au regard des bases compromises référencées, et de recevoir une alerte lors d'un futur référencement. Vous pouvez également exercer votre droit d'accès auprès de l'entreprise, qui doit vous indiquer quelles données vous concernant sont touchées par l'incident.