Le Petit Vapoteur piraté : vos données personnelles sont-elles dans la nature ?

Le réveil brutal d’un géant de l’e-commerce

Tout a basculé à la fin du mois de mars 2026, quand le calme habituel de la communauté cyber a été rompu par une énième annonce d’intrusion. Un pirate informatique, opérant sous le pseudonyme d’« undef » ou parfois « underus », a mis en vente une archive qu’il présente comme le Graal : la base de données complète du backend du Petit Vapoteur. Pour bien comprendre l’enjeu, il faut se rappeler que cette enseigne n’est pas une petite boutique de quartier. C’est une machine de guerre du e-commerce qui gère des millions de commandes chaque année.

L’annonce du hacker n’est pas passée inaperçue car elle mentionnait un chiffre vertigineux de 3,3 millions de clients impactés, avec un historique remontant jusqu’à 2012. Dès les premières heures, les experts en sécurité ont commencé à scruter les échantillons de données offerts en preuve par l’attaquant. Malheureusement, la précision des informations fournies, allant des adresses postales aux logs de connexion, a rapidement fait pencher la balance du côté de la thèse d’un piratage bien réel et massif.

Une faille qui couvait depuis plusieurs semaines

Si l’on remonte un peu le fil des événements, on s’aperçoit que ce drame numérique ne sort pas de nulle part. En février 2026, une alerte mondiale avait déjà été lancée par les équipes de PrestaShop, la solution technique utilisée par la boutique normande pour faire tourner son site. Une campagne massive de « digital skimming » battait son plein à ce moment-là. Pour faire simple, des pirates injectaient des scripts invisibles sur les pages de paiement pour siphonner les informations des clients au moment même où ils validaient leur panier.

Si Le Petit Vapoteur n’a pas encore fait de lien direct entre cette vague d’attaques et son propre malheur, la coïncidence temporelle est pour le moins troublante. On imagine sans peine les équipes techniques en interne, sous pression, essayant de vérifier chaque ligne de code pendant que l’intrus, lui, avait peut-être déjà trouvé une autre porte dérobée pour s’installer durablement dans les serveurs de l’entreprise.

Les coulisses d’une intrusion détectée trop tard

Grâce à des éléments qui ont fuité par la suite, on en sait un peu plus sur la chronologie interne de la crise. Il semblerait qu’une conversation sur l’outil de travail Slack, datée du 20 mars, montrait déjà des signes d’inquiétude chez les administrateurs du site. Ils auraient repéré des mouvements inhabituels, une sorte de bruit de fond numérique qui ne correspondait pas au trafic normal des clients. C’est souvent là que le bât blesse : entre le moment où un pirate s’introduit et celui où on lui coupe l’accès, il peut se passer des jours, voire des semaines. Dans le cas présent, le hacker semble avoir eu tout le loisir de se promener dans les dossiers, allant même jusqu’à récupérer des informations sur les employés eux-mêmes. On parle de près de 600 salariés dont les noms, les postes et parfois même les photos internes se sont retrouvés sur le tapis de cette vente aux enchères illégale.

Le grand écart entre la version officielle et la menace

C’est sans doute le point le plus brûlant de cette affaire : l’ampleur réelle du vol. D’un côté, nous avons un pirate qui affirme détenir la totalité de la base clients, soit plus de trois millions de fiches. De l’autre, la direction de la marque a communiqué de manière assez chirurgicale en affirmant que moins de 2 % de ses clients étaient réellement concernés. C’est une différence de traitement qui interroge. Pourquoi avoir envoyé un mail d’alerte à l’intégralité de sa base de données si le problème ne touche qu’une infime minorité ? C’est peut-être une stratégie pour se protéger juridiquement face aux exigences très strictes de la CNIL et du RGPD, mais pour l’utilisateur lambda, le message est flou. On se demande si l’entreprise a réellement identifié le périmètre de la fuite ou si elle tente simplement de limiter la casse médiatique en minimisant les chiffres, en attendant d’avoir des certitudes plus solides.

L’anatomie des données qui traînent dans la nature

Pour ceux qui font partie du lot des victimes confirmées, la liste des informations dérobées est un vrai catalogue pour n’importe quel escroc. On ne parle pas de numéros de cartes bancaires, ce qui est une excellente nouvelle, mais le reste est suffisant pour faire de gros dégâts. Votre nom, votre prénom, votre adresse mail et surtout votre numéro de téléphone sont des pépites pour le phishing. Imaginez un instant : un pirate possède votre historique de commandes. Il sait quel modèle de cigarette électronique vous avez acheté et quel liquide vous préférez. Il peut alors vous envoyer un SMS ultra-personnalisé en se faisant passer pour le service client, vous proposant un remboursement ou un rappel de produit défectueux. Avec de tels détails, il devient presque impossible pour une personne non avertie de déceler le piège. C’est là que réside le véritable danger de cette fuite : l’usurpation d’identité et les arnaques sociales ciblées.

Le silence sur la page d’accueil

Ce qui interpelle dans la gestion de cette crise, c’est l’absence totale de communication visible sur le site lepetitvapoteur.com. Si vous vous rendez sur la boutique aujourd’hui, rien n’indique qu’une tempête a eu lieu. Pas de bandeau d’information, pas de message de prévention pour les clients qui ne consultent pas leurs mails régulièrement. C’est un choix de communication de crise qui se défend d’un point de vue purement commercial, pour ne pas effrayer le nouveau client qui arrive par hasard, mais cela pose un problème d’éthique. La transparence est pourtant devenue la règle d’or en cybersécurité. En laissant le soin aux trackers spécialisés comme FrenchBreaches ou Fuites Infos de diffuser l’information, la marque prend le risque de laisser s’installer un climat de méfiance tenace chez ses habitués.

La panoplie du hacker : entre orgueil et profit

Le profil de l’attaquant, « undef », est aussi un élément intéressant à analyser. On n’est pas face à un groupe de rançongiciel classique qui bloque les serveurs en échange d’argent. On est plutôt sur un profil qui cherche à monétiser une base de données tout en se faisant un nom dans le milieu. Le fait qu’il continue de contredire la version officielle de l’entreprise montre qu’il y a une véritable guerre d’ego. Il prétend que les preuves qu’il a postées ne sont que la partie émergée de l’iceberg. Pour lui, la base est complète et contient des logs IP qui permettraient de géolocaliser précisément les utilisateurs. Si ces affirmations sont vraies, cela signifierait que même les habitudes de connexion des clients sont compromises, ajoutant une couche supplémentaire de surveillance non consentie.

Les réflexes de survie numérique à adopter d’urgence

Inutile de tourner autour du pot : si vous avez un compte chez ce marchand, vous devez agir. Même si vous n’avez pas reçu le mail de confirmation, le principe de précaution doit primer. La première étape, c’est évidemment de changer votre mot de passe. Et par pitié, ne remettez pas le même que sur votre compte Gmail ou votre banque. Si les bases de données de mots de passe n’ont pas été touchées selon la marque, on ne sait jamais quelle surprise une analyse plus poussée pourrait révéler. L’activation de la double authentification (ce fameux code reçu par SMS ou via une appli) partout où c’est possible est aussi une barrière indispensable aujourd’hui. On vit dans un monde où les données circulent plus vite que les informations officielles, alors autant verrouiller toutes les portes de votre vie numérique.

La vigilance face au « vishing » et aux arnaques téléphoniques

Le risque le plus immédiat après une telle fuite, c’est ce qu’on appelle le « vishing », ou phishing par la voix. Avec votre numéro de téléphone et votre nom, un escroc peut être très convaincant. Il peut vous appeler en prétendant qu’il y a eu une fraude sur votre compte et vous demander de valider une opération sur votre application bancaire. C’est une technique qui fait des ravages en ce moment. Il faut se mettre en tête qu’aucune entreprise sérieuse ne vous demandera jamais vos codes secrets ou une validation de paiement par téléphone. Si vous recevez un appel suspect, la règle est simple : raccrochez et rappelez vous-même le service concerné via le numéro que vous trouverez sur leur site officiel. Ne vous fiez jamais au numéro qui s’affiche sur votre écran, car il est très facile de le truquer.

Un avenir incertain pour la protection des données dans la vape

Cette affaire pose aussi une question plus large sur la sécurité des sites de vente en ligne de produits de niche. Le secteur de la vape a explosé en quelques années, et les infrastructures techniques n’ont pas toujours suivi le rythme de la croissance fulgurante des bases clients. Le Petit Vapoteur va devoir faire un sérieux ménage dans ses systèmes (le CMS Prestashop) s’il veut regagner la confiance de sa communauté. Une expertise technique indépendante serait la bienvenue pour clarifier enfin ce qui s’est passé. En attendant, cette crise rappelle à tout le monde que nos données personnelles sont des actifs précieux que nous confions souvent avec trop de légèreté à des plateformes qui, malgré leurs bonnes intentions, restent vulnérables face à des attaquants de plus en plus sophistiqués.

Le rôle crucial des régulateurs et de la CNIL

Désormais, la balle est dans le camp des autorités. La notification à la CNIL est une étape obligatoire, mais elle n’est que le début d’un long processus. Le régulateur va devoir vérifier si les mesures de sécurité mises en place par l’entreprise étaient suffisantes par rapport à la sensibilité des données stockées. Si des manquements graves sont constatés, la note pourrait être salée, tant sur le plan financier que sur celui de la réputation. Pour les clients, c’est aussi le moment de se demander quels sont leurs droits. En cas de préjudice réel, comme une usurpation d’identité prouvée suite à cette fuite, des recours collectifs pourraient voir le jour. C’est un dossier que nous allons suivre de très près, car il est emblématique des enjeux de souveraineté numérique auxquels nous faisons face quotidiennement.

Conclusion : une leçon de prudence pour tous

Pour finir, cette mésaventure du Petit Vapoteur ne doit pas simplement être vue comme un fait divers de plus dans la longue liste des piratages. C’est un signal d’alarme pour tous les internautes. On ne peut plus se permettre d’être passif avec sa sécurité en ligne. La rapidité avec laquelle une simple rumeur sur un forum peut se transformer en une confirmation de fuite partielle montre que nous sommes tous exposés. En attendant que toute la lumière soit faite sur cette intrusion et que l’entreprise décide peut-être d’être plus transparente sur les chiffres réels, restez sur vos gardes. Vérifiez vos comptes, surveillez vos relevés et surtout, ne donnez jamais d’informations sensibles au premier venu qui vous contacte. La sécurité absolue n’existe pas, mais on peut au moins rendre la tâche des pirates beaucoup plus difficile.

Note de la rédaction : Cet article a été mis à jour pour la dernière fois le 3 avril 2026. Les informations contenues ici se basent sur les revendications publiques des hackers, les premières analyses techniques disponibles et les déclarations officielles de l’entreprise. Nous continuerons d’actualiser ce dossier au fur et à mesure que de nouveaux éléments concrets nous parviendront.