Fuite de données Ricardo : les coordonnées « non sensibles » sont un kit de fraude prêt à l'emploi

Mis à jour le 13 octobre 2026

• 890'000comptes concernés
• 7 oct.détecté
• 9 oct.rendu public
• 0mot de passe ou e-mail exposé

Environ 890'000 comptes Ricardo sont concernés par un accès non autorisé à des noms, des adresses postales et des numéros de téléphone. La phrase la plus rassurante de la communication, à savoir qu'aucun mot de passe ni aucune adresse e-mail n'a été exposé, mérite d'être lue avec prudence. Pour un fraudeur, savoir qui vous êtes, où vous habitez, comment vous joindre et que vous utilisez Ricardo vaut souvent davantage qu'un mot de passe, car c'est exactement ce qu'il faut pour monter une arnaque crédible. La vraie leçon de gouvernance porte donc moins sur le périmètre technique que sur la cartographie, la minimisation et la conservation des données personnelles.

Fuite de données Ricardo : que s'est-il passé et quelles données sont exposées ?

Ricardo a détecté le 7 octobre 2026 un accès non autorisé touchant environ 890'000 comptes, et SMG Swiss Marketplace Group l'a rendu public le 9 octobre 2026.

1. 11 avr. 2024Enquête du PFPDT sur Ricardo et TX Group conclueaffaire distincte
2. 23 oct. 2024Rapport final du PFPDT publiéaffaire distincte
3. 7 oct. 2026Activité suspecte détectée sur les serveurs
4. 9 oct. 2026SMG rend la fuite publique ; PFPDT informé
5. 13 oct. 2026Mise à jour de cet article

Ricardo indique que la vulnérabilité est entièrement corrigée et informe directement les personnes concernées des conséquences possibles et des précautions à prendre. SMG a également précisé à l'agence AWP que les données n'avaient jamais été librement accessibles.

Pourquoi un nom, une adresse et un téléphone suffisent-ils à une fraude ?

Un nom, une adresse et un numéro de téléphone associés à un compte Ricardo suffisent à rendre une arnaque crédible. Le fraudeur sait que sa victime achète ou vend sur la plateforme et peut la joindre sur le bon canal.

1. 1Fuitenom + adresse + téléphone
2. 2Contexte« utilise Ricardo »
3. 3MessageSMS, appel ou WhatsApp personnalisé
4. 4Demandepaiement, code, changement d'IBAN ou lien

Les utilisateurs de Ricardo étaient déjà ciblés avant cet incident, par de faux acheteurs, de faux e-mails aux couleurs de Ricardo et des messages WhatsApp frauduleux. En juin 2026, Bluewin a rapporté le cas d'une famille bernoise qui a perdu plus de CHF 40'000. En mars 2026, SRF a fait état d'une hausse d'environ 20 % des prises de contrôle de comptes Ricardo signalées depuis le début de l'année, même si ces cas restent de l'ordre du pour mille. Un fichier qui relie un nom, une adresse et un numéro de téléphone à un compte sur la plateforme donne à ces escroqueries le contexte qui leur manquait.

• CHF 40'000+perdus par une famille bernoiseBluewin, juin 2026
• ~20 %de hausse des prises de contrôle de comptes Ricardo signalées depuis le début de 2026SRF, mars 2026

L'IA générative change aussi l'échelle du problème, puisqu'elle permet de produire très vite un message personnalisé, sans faute et dans la langue de la victime. Les vendeurs professionnels sont particulièrement exposés, car leur raison sociale et leur numéro de téléphone ouvrent la porte à la fraude au faux fournisseur, aux fausses factures et aux demandes de changement de coordonnées bancaires.

« Les entreprises classent encore un nom, une adresse et un numéro de téléphone parmi les données à faible risque. Combinés au fait de savoir que quelqu'un vend sur Ricardo, ils forment un script de fraude prêt à l'emploi, et l'IA générative écrit désormais ce script en français ou en suisse allemand impeccable en quelques secondes »

Minimisation des données : pourquoi conserver encore des données de commande ?

La minimisation des données consiste à ne collecter et à ne conserver que ce qu'une finalité définie exige. C'est la protection la plus sûre contre une fuite, puisque des données supprimées ne peuvent pas être volées.

Le 11 avril 2024, le PFPDT a conclu une enquête visant Ricardo et TX Group. Son rapport final, publié le 23 octobre 2024, formule des recommandations sur la transparence des transferts de données, sur le suivi multi-plateformes à des fins publicitaires et sur la validité du consentement. Ce rapport ne porte pas sur l'incident actuel, mais il rappelle une question que toute organisation devrait pouvoir trancher rapidement : quelles données circulent, vers qui, et pour quelle finalité.

La LPD fournit l'outil pour y répondre. Son article 12 impose de tenir un registre des activités de traitement, qui décrit notamment les catégories de données, leurs destinataires et, si possible, leur durée de conservation.

Les entreprises de moins de 250 collaborateurs en sont dispensées lorsqu'elles ne traitent pas de données sensibles à grande échelle et ne procèdent pas à un profilage à risque élevé (art. 24 OPDo). Le registre reste pourtant la manière la plus simple de savoir ce que l'on détient.

Les données de commande illustrent bien l'enjeu. Elles sont indispensables pour exécuter une transaction et gérer un litige, mais beaucoup moins utiles des années plus tard, alors que leur valeur pour un fraudeur, elle, ne diminue guère.

« La question pour chaque conseil d'administration lundi n'est pas de savoir s'il pourrait être victime d'une fuite, mais s'il sait exactement où se trouvent les données de ses clients, qui peut y accéder et pourquoi il les conserve encore, car des données que l'on ne détient plus ne peuvent pas fuiter »

Annonce au PFPDT : quel délai, et que faire après les 48 premières heures ?

En Suisse, une violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées doit être annoncée au PFPDT dans les meilleurs délais (art. 24 LPD). Contrairement au RGPD, il n'existe pas de délai fixe de 72 heures. Le responsable du traitement doit aussi informer les personnes concernées lorsque leur protection l'exige ou que le PFPDT le demande (art. 24, al. 4, LPD).

La LPD ne sanctionne donc pas l'omission de l'annonce elle-même. En revanche, la violation intentionnelle des exigences minimales de sécurité des données (art. 8 LPD) est passible, sur plainte, d'une amende jusqu'à CHF 250'000 (art. 61 LPD), prononcée contre les personnes physiques responsables.

Comment évaluer le « risque élevé » ?

L'évaluation du risque élevé repose sur quelques questions que l'équipe doit pouvoir trancher et documenter en quelques heures.

4 critères sur 5 pointent vers un dommage plausible ; maîtrise inconnue → l'annonce est la voie prudente

Lorsque plusieurs critères pointent vers un dommage plausible, l'annonce est la voie prudente. Dans tous les cas, la violation, ses effets et les mesures prises doivent être documentés, y compris lorsque l'on conclut à l'absence de risque élevé. La documentation d'une violation annoncée se conserve au moins deux ans à compter de l'annonce (art. 15, al. 4, OPDo).

Une bonne communication d'incident dit clairement ce qui est exposé et ce qui ne l'est pas, et explique aux personnes concernées à quoi s'attendre. Elle rappelle aussi par quels canaux l'entreprise ne les contactera jamais. Cette communication doit durer, car la fraude qui exploite des coordonnées divulguées peut se matérialiser des semaines plus tard.

« Passer de la détection à la communication publique en deux jours est un réflexe respectable, mais ce qui compte maintenant, ce sont les 3 prochains mois, car des coordonnées divulguées ont des conséquences à long terme et la vague de fraude arrive généralement des semaines, voire des mois, après les gros titres »

Une PME est-elle concernée par une fuite chez une plateforme tierce ?

Une fuite chez Ricardo concerne aussi des PME dont les systèmes sont intacts, car leurs clients, collaborateurs et fournisseurs actifs sur la plateforme deviennent des cibles. Pour beaucoup d'entreprises, Ricardo est un canal de vente ou simplement l'endroit où leurs clients achètent. La plupart des plans de crise, construits autour du rançongiciel, ne couvrent pas ce scénario. La gestion des risques fournisseurs sert justement à savoir quelles plateformes et quels sous-traitants détiennent des données liées à votre activité.

« La résilience concerne aussi les personnes en aval, et lorsqu'une plateforme dont vous dépendez est victime d'une fuite, vos clients et vos fournisseurs deviennent des cibles, si bien que votre plan de gestion des incidents doit couvrir les évènements qui surviennent chez d'autres »

Votre risque de fuite de données est-il encore correctement évalué ?

Un risque de fuite de données est correctement évalué lorsque sa note reflète les preuves actuelles. Ces preuves comprennent l'état de vos contrôles, les vulnérabilités ouvertes sur les systèmes qui détiennent des données personnelles et les tiers qui peuvent accéder à ces données.

Ricardo indique avoir corrigé la vulnérabilité qui a permis l'accès. Cela rappelle qu'une base clients s'expose le plus souvent par une faiblesse technique précise, sur un système précis, bien avant que quiconque ne revoie le registre des risques.

« Dans beaucoup d'entreprises, le risque de fuite de données est évalué une fois par an puis n'est plus revu, alors que la situation, elle, change constamment : une nouvelle faille apparaît sur le serveur qui contient les données clients, un fournisseur est racheté, des données qu'on aurait dû supprimer sont toujours là. Si l'évaluation du risque n'est pas mise à jour quand ces faits changent, on découvre qu'elle était fausse le jour de l'incident »

Fuite de données Ricardo : sept actions pour les entreprises suisses cette semaine

1. Identifier votre exposition à Ricardo, qu'il s'agisse de comptes professionnels, de collaborateurs qui vendent pour l'entreprise ou de clients et fournisseurs actifs sur la plateforme.
2. Prévenir clients et équipes de la fraude probable, en rappelant que vous ne demandez jamais de paiement, de code ou de changement d'IBAN par téléphone, SMS ou WhatsApp.
3. Exiger un rappel sur un numéro déjà connu avant tout changement de coordonnées bancaires ou tout paiement urgent.
4. Mettre à jour le registre des activités de traitement (art. 12 LPD) pour les données de contact et de commande, avec leur finalité, leurs accès, leurs destinataires et leur durée de conservation.
5. Fixer des durées de conservation et supprimer ou anonymiser les données qui n'ont plus de finalité.
6. Relier les vulnérabilités ouvertes aux systèmes qui détiennent des données personnelles, puis revoir la note de votre risque de fuite à la lumière de ces preuves.
7. Tester votre procédure d'annonce en définissant qui évalue le risque élevé et en combien d'heures, qui informe le PFPDT et les personnes concernées, et où la décision est documentée.

Voir où circulent vos données, et si votre évaluation du risque tient encore

Chaque action d'Aiko respecte vos profils d'accès et est consignée dans le journal d'activité (Activity log), ce qui vous garde une trace complète de ce qui a été proposé et de qui l'a validé.

Pour voir comment tout votre programme LPD se pilote au même endroit, lisez la conformité LPD dans Acuna GRC.

Demander une démo

Sources

• SMG Swiss Marketplace Group, « Ricardo fixes security vulnerability affecting user data », communiqué du 9 octobre 2026 (EQS)
• Netzwoche, « Ricardo meldet Datenabfluss bei 890'000 Userkonten », 9 octobre 2026
• SRF, « Keine Erpressung » : Ricardo meldet Datenleck bei 890'000 Konten, 9 octobre 2026
• blue News (Bluewin), « Personal data from 890,000 user accounts was exposed », 9 octobre 2026
• blue News (Bluewin), « Familie verliert 40'000 Franken » (arnaque Ricardo), 2 juin 2026
• SRF Espresso, « Betrüger kapern vermehrt Ricardo-Konten », 26 mars 2026
• PFPDT, rapport final sur Ricardo et TX Group (23 octobre 2024)
• PFPDT, guide relatif à l'annonce des violations de la sécurité des données et à l'information des personnes concernées (art. 24 LPD)
• PFPDT, rôle du PFPDT et dispositions pénales de la LPD (page en anglais)
• OFCS, obligation de signaler les cyberattaques : sanctions dès le 1er octobre 2025
• Fedlex, loi fédérale sur la protection des données (LPD, RS 235.1), art. 8, 12, 24 et 61
• Fedlex, ordonnance sur la protection des données (OPDo, RS 235.11), art. 15 et 24
• Fedlex, loi sur la sécurité de l'information (LSI, RS 128), art. 74a à 74h
• RGPD (règlement (UE) 2016/679), art. 33 et 83