Cyberattaque Lingor : pièces d’identité, IBAN et achats d’or potentiellement exposés

Une intrusion révélée par les attaquants

Lingor, spécialiste nantais de l’achat et de la vente de métaux précieux, indique avoir découvert l’incident après avoir été contacté par les auteurs de l’intrusion le 26 août 2026. Ceux-ci auraient réclamé une rançon. L’entreprise affirme avoir refusé de payer, puis sécurisé les accès concernés et lancé une investigation avec un prestataire spécialisé. Les principaux éléments rendus publics ont notamment été synthétisés par FrenchBreaches.

Lingor indique également avoir déposé plainte et notifié la violation à la CNIL. Les clients susceptibles d’être concernés auraient commencé à être informés individuellement. À ce jour, aucune publication de la CNIL consacrée spécifiquement à cet incident n’a été identifiée. La notification à l’autorité reste donc un élément déclaré par l’entreprise et relayé par les sources spécialisées.

Le nombre exact de personnes touchées n’a pas été communiqué publiquement. Il ne faut donc pas transformer un volume de clients ou d’utilisateurs de Lingor en estimation du nombre de victimes.

Deux niveaux d’exposition selon le service utilisé

Le périmètre potentiel varie fortement selon la relation du client avec Lingor. Pour les achats effectués sur les boutiques en ligne lingor.fr ou monlingot.fr, les données évoquées comprennent les nom et prénom, les adresses de livraison et de facturation, l’e-mail, le téléphone, le numéro de commande ainsi que la nature, la quantité, le montant et la date des transactions.

Selon Lingor, aucune copie de pièce d’identité n’a été compromise dans ce périmètre de vente en ligne. L’entreprise précise aussi que les données de cartes bancaires ne sont pas stockées dans les systèmes concernés, les paiements étant traités par un prestataire distinct.

Le cas du Kit Postal est plus sensible. Ce service de rachat à distance nécessite davantage de justificatifs. Les dossiers peuvent contenir une copie de pièce d’identité, un justificatif de domicile, des informations sur la transaction et un RIB avec IBAN. Ce sont ces éléments qui pourraient avoir été accessibles lors de l’intrusion.

À ce stade, rien ne permet d’affirmer que toutes ces catégories ont été exfiltrées pour chaque client concerné. Il faut donc parler de données potentiellement exposées, et non d’un vol intégral et certain de chaque dossier.

Pourquoi la combinaison des données change le niveau de risque

Une adresse e-mail ou un numéro de téléphone isolé peut déjà servir à lancer une campagne de phishing. Mais le risque augmente lorsque l’attaquant dispose aussi d’informations exactes sur une transaction, d’une adresse postale, d’une pièce d’identité et de coordonnées bancaires.

Un fraudeur peut alors personnaliser son discours. Il peut citer un véritable achat, un montant ou une date pour gagner la confiance de sa cible. Business Times a récemment montré comment l’IA rend certains faux e-mails beaucoup plus difficiles à repérer. Dans le cas de Lingor, la connaissance d’une opération liée à l’or ou aux métaux précieux peut en outre révéler une information patrimoniale.

Cela ne signifie pas qu’un IBAN permette, à lui seul, de prendre le contrôle d’un compte bancaire. La Banque de France rappelle qu’un IBAN isolé ne suffit pas à effectuer librement des opérations. Il peut néanmoins être exploité dans des scénarios frauduleux, notamment lorsqu’il est combiné à d’autres informations permettant une usurpation d’identité ou un faux mandat de prélèvement.

Le refus de payer la rançon suit les recommandations publiques

La décision annoncée par Lingor de ne pas payer suit les recommandations de Cybermalveillance.gouv.fr. Le service public rappelle qu’un paiement ne garantit ni la récupération des données ni leur suppression. Il finance aussi l’écosystème criminel et peut encourager de nouvelles tentatives d’extorsion.

L’incident intervient dans un contexte où les cybercriminels cherchent de plus en plus à monétiser directement les données. Dans son Panorama de la cybermenace 2025, l’ANSSI observe une progression de l’exfiltration sans déploiement systématique de rançongiciel. L’Agence a eu connaissance de 128 compromissions par rançongiciel en 2025 et souligne que les PME, TPE et ETI restent la catégorie d’organisations la plus touchée.

Ce mouvement rejoint une tendance analysée sur Business Times à travers la hausse de la sinistralité cyber observée par Stoïk. Pour un dirigeant, le risque ne se limite donc plus au blocage du système d’information. Une entreprise peut continuer à fonctionner tout en subissant une extorsion fondée sur des données copiées.

RGPD : les 72 heures ne sont qu’une partie du sujet

En cas de violation de données personnelles, le RGPD impose d’abord de documenter l’incident. Lorsqu’il existe un risque pour les droits et libertés des personnes, le responsable du traitement doit notifier la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Si le risque est élevé, les personnes concernées doivent aussi être informées rapidement. La CNIL détaille ces obligations et les critères de notification.

Lingor affirme avoir engagé ces démarches. L’enjeu réglementaire ne s’arrête toutefois pas à la notification. Pour les entreprises, la question centrale porte aussi sur les données conservées avant l’incident : lesquelles étaient réellement nécessaires, pendant combien de temps, et avec quels droits d’accès ?

Lingor indique vouloir revoir ses règles de conservation, réduire les données stockées au strict nécessaire et renforcer le contrôle des accès. C’est l’une des principales leçons pour les directions générales. Un fichier qui n’existe plus ne peut pas être volé. Une donnée accessible à très peu de personnes est aussi plus difficile à compromettre.

L’affaire Free, déjà analysée par Business Times, a rappelé que la CNIL peut examiner à la fois la sécurité et les pratiques de conservation. La cybersécurité et la conformité RGPD doivent donc être pilotées ensemble.

Ce que les dirigeants doivent retenir de la cyberattaque Lingor

Le premier réflexe consiste à savoir exactement où se trouvent les données sensibles. Beaucoup d’entreprises connaissent leurs bases clients, mais moins bien les copies présentes dans les outils de facturation, les archives, les espaces partagés ou les applications anciennes.

Le deuxième enjeu concerne le cloisonnement. Une base contenant à la fois l’identité, l’adresse, les transactions et des pièces justificatives offre une valeur bien plus forte à un attaquant qu’un fichier limité à une seule catégorie de données. La segmentation des accès, la limitation des durées de conservation et la journalisation des consultations réduisent cette exposition.

Enfin, la préparation de crise ne peut plus rester réservée à la DSI. Une violation mobilise aussi la direction générale, le juridique, la communication et les équipes commerciales. La rapidité et la précision de l’information adressée aux clients peuvent peser autant que la réponse technique.

La cyberattaque Lingor montre ainsi une réalité simple : la valeur d’une donnée dépend du contexte qui l’entoure. Dans un secteur lié à l’or, une adresse, un historique de transaction et une pièce d’identité peuvent former un ensemble particulièrement sensible. Pour les dirigeants, la réponse ne consiste pas seulement à renforcer les pare-feu. Elle passe aussi par une politique plus stricte de collecte, de conservation et d’accès aux données.