Fuite de données Productly : un nombre non communiqué de personnes exposées

Une revendication publiée sur un forum cybercriminel place Productly, plateforme française de création automatisée de boutiques et de fiches produits pour Shopify, parmi les services touchés par une violation de données. L'incident, daté du 25 juillet 2026, porterait sur des identifiants de comptes : noms d'utilisateur, adresses email, mots de passe et statuts d'abonnement. Le nombre de personnes concernées n'a pas été communiqué par l'éditeur. Pour les utilisateurs, la présence de mots de passe dans le lot annoncé constitue le point critique : elle transforme une base commerciale ordinaire en levier d'attaque contre tous les services où les mêmes identifiants ont été réutilisés. Pour l'entreprise, elle déclenche les obligations du RGPD, à commencer par le compte à rebours de 72 heures de l'article 33. Faits connus, cadre juridique applicable et réflexes à adopter : le point sur cette fuite, à replacer dans notre panorama des fuites de données en France.

Que s'est-il passé : Productly victime d'une violation de données

Productly est un service français destiné aux marchands en ligne. Il génère automatiquement boutiques, pages produits et contenus e-commerce à partir de catalogues issus de plateformes comme Amazon, AliExpress ou Shopify. Sa clientèle réunit donc surtout des professionnels du commerce électronique et des entrepreneurs individuels.

La revendication émane d'un acteur non identifié, sur un forum spécialisé dans la revente de bases de données. Elle avance 57 000 comptes compromis, chiffre annoncé par l'auteur de la publication et non confirmé par l'éditeur. Les catégories citées sont cohérentes avec l'export d'une table d'authentification : identifiant de connexion, adresse email, mot de passe et statut du compte.

Le vecteur d'intrusion n'est pas documenté. Dans ce type d'incident, les causes les plus fréquentes restent l'injection SQL sur une interface applicative, la compromission d'un compte d'administration dépourvu d'authentification multifacteur, ou l'exposition d'une sauvegarde sur un stockage mal configuré. Un point demeure déterminant et inconnu : le format de stockage des mots de passe. Selon qu'ils soient en clair, chiffrés de manière réversible ou hachés avec un algorithme moderne et salé, la portée réelle de la fuite change radicalement. La sévérité technique paraît limitée au regard des catégories concernées — ni données bancaires, ni données sensibles au sens de l'article 9 — mais le risque pour les personnes ne peut être qualifié de faible tant que cette incertitude persiste.

Obligations légales RGPD pour Productly

Responsable de traitement établi en France, Productly relève du RGPD et du contrôle de la CNIL.

Notifier sous 72 heures. L'article 33 impose une notification à l'autorité de contrôle dans les 72 heures suivant la prise de connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Une fuite d'identifiants n'entre pas dans cette exception. Lorsque les éléments manquent encore, la notification peut être complétée de façon échelonnée, mais le délai court dès le premier soupçon étayé, pas à l'issue de l'investigation.

Informer les personnes concernées. L'article 34 ajoute une obligation d'information directe des utilisateurs en cas de risque élevé. La question du hachage devient ici décisive : des mots de passe en clair, ou protégés par un algorithme obsolète de type MD5 ou SHA-1 non salé, font basculer l'incident dans cette catégorie. Le message doit alors décrire en termes clairs les conséquences probables et les mesures recommandées.

Documenter en interne. L'article 33 §5 impose de consigner toute violation dans un registre dédié, y compris celles qui ne sont pas notifiées : nature des faits, effets constatés, mesures correctives. C'est la première pièce examinée lors d'un contrôle.

Sanctions encourues. Un manquement aux obligations de sécurité de l'article 32 ou aux règles de notification expose à une amende de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Les atteintes aux principes fondamentaux du traitement relèvent du plafond supérieur : 20 millions d'euros ou 4 %.

Risques pour les personnes touchées et que faire

Le premier danger est le credential stuffing. Des robots rejouent automatiquement les couples email / mot de passe issus de la fuite sur des dizaines de services : messagerie, réseaux sociaux, solutions de paiement, back-offices Shopify. Toute réutilisation transforme une fuite mineure en compromission en chaîne.

Vient ensuite le phishing ciblé. Sachant qu'une victime exploite un outil e-commerce et connaissant le statut de son abonnement, un attaquant rédige un faux avis de suspension de compte particulièrement crédible.

L'usurpation d'identité complète le tableau : agrégée à d'autres fuites, l'adresse email devient l'identifiant pivot qui permet de déclencher des réinitialisations de mot de passe frauduleuses.

À faire sans attendre : changer le mot de passe Productly, puis celui de tout service où il était réutilisé ; activer l'authentification multifacteur, de préférence via une application dédiée ou une clé physique plutôt que par SMS ; adopter un gestionnaire de mots de passe pour garantir l'unicité de chaque identifiant ; surveiller les connexions inhabituelles et les emails de réinitialisation non sollicités. En cas de préjudice avéré, une plainte peut être déposée auprès de la CNIL, indépendamment d'une action en réparation devant le juge civil.

Enseignements pour les entreprises similaires

Les éditeurs SaaS français partagent le profil de risque de Productly : base d'authentification centralisée, croissance rapide, surface applicative exposée en permanence sur Internet.

Le hachage fort des secrets d'authentification — bcrypt, scrypt ou Argon2 — constitue un prérequis non négociable, complété par le chiffrement des données au repos et des sauvegardes. L'authentification multifacteur s'impose sur tous les accès d'administration, consoles d'hébergement et dépôts de code compris. La segmentation réseau et le cloisonnement des droits applicatifs limitent la latéralisation une fois le premier périmètre franchi. Des tests d'intrusion réguliers, complétés d'une revue de code sur les points d'entrée d'authentification, révèlent les failles avant leur exploitation. Enfin, une journalisation centralisée avec alerte sur les extractions volumineuses réduit le délai de détection, souvent ce qui sépare un incident maîtrisé d'une fuite massive. Les fournisseurs de services numériques concernés par la directive NIS 2 devront en outre formaliser leur gestion des incidents et le suivi de leurs risques fournisseurs.

Questions fréquentes

Que faire si vous êtes client de Productly ?

Changez sans délai votre mot de passe sur la plateforme, puis sur tout service où vous l'aviez réutilisé. Activez l'authentification multifacteur sur votre messagerie et sur votre boutique Shopify. Vérifiez les sessions actives et les intégrations tierces autorisées, et traitez avec méfiance tout email évoquant un incident de facturation dans les prochaines semaines.

Productly doit-elle notifier la CNIL ?

Oui, dès confirmation des faits. L'article 33 ne dispense de notification que si l'incident est peu susceptible d'engendrer un risque pour les personnes, ce qui n'est pas le cas d'une fuite d'identifiants de connexion. L'information individuelle des clients au titre de l'article 34 s'imposera en complément si les mots de passe se révèlent exploitables.

Comment vérifier si vos données ont été exposées ?

Interrogez votre adresse email sur Have I Been Pwned, qui recense les bases compromises diffusées publiquement, et activez son alerte pour être prévenu des prochaines occurrences. Exercez ensuite votre droit d'accès auprès de l'éditeur afin d'obtenir confirmation de votre présence dans le lot concerné. Les entreprises peuvent étendre cette vérification à l'ensemble de leurs comptes professionnels via un audit d'exposition.