Fuite de données Zara

Zara, c’est quoi ?

Zara est la marque phare du groupe Inditex. Vous êtes potentiellement concerné si vous avez contacté son service client. La fuite ne vient pas de Zara elle-même, mais d’un outil d’analyse externe qu’elle utilisait.

Ce qui s’est passé

En avril 2026, la marque de mode Zara a figuré parmi les organisations visées par le groupe d’extorsion ShinyHunters, dans sa campagne « payez ou nous diffusons ».

Le groupe a affirmé que la fuite était liée à une compromission de la plateforme d’analyse Anodot, et a ensuite publié un téraoctet de données incluant, selon lui, 95 millions d’enregistrements de tickets de support.

Les données contiennent 197 000 adresses email uniques, avec des références de produits, des numéros de commande et le marché d’origine du ticket. Inditex, maison mère de Zara, a indiqué que l’incident n’affectait ni les mots de passe ni les informations de paiement.

Les données exposées

• localisations géographiques
• adresses email
• achats
• échanges avec le support

Les personnes touchées ne sont pas forcément concernées par chaque catégorie.

Le niveau de risque

Gravité modérée : ni mot de passe ni donnée bancaire, mais des données personnelles durablement exploitables.

Ni mot de passe ni donnée bancaire : rien à réinitialiser. Ce cas est instructif par son origine. Ce n’est pas Zara qui a été piratée, mais un prestataire d’analyse de données, Anodot, à qui Zara confiait ses tickets de support. Ce même prestataire est à l’origine d’une autre entrée du registre, Vimeo, touchée la même semaine. Vos données ne restent pas chez l’enseigne où vous les laissez ; elles voyagent chez des sous-traitants dont vous ignorez le nom, et un seul d’entre eux suffit à exposer les clients de plusieurs marques d’un coup. Concrètement, le lot associe votre adresse à des numéros de commande et à des références d’articles : c’est exactement ce qu’il faut pour rédiger un faux message de service client crédible. Une demande concernant une commande se traite depuis votre compte sur le site, jamais depuis un lien reçu.

Que faire si vous êtes concerné

1. Des e-mails ou des SMS imitant Zara peuvent utiliser vos vraies informations pour paraître crédibles : c’est ce qu’on appelle le phishing.
2. Par précaution, vous pouvez activer la double authentification sur votre boîte mail : c’est elle qui reçoit les liens « mot de passe oublié » de vos autres comptes.

Bon à savoir : vous pouvez signaler les tentatives d’arnaque : transférer les SMS frauduleux au 33700, signaler les e-mails sur signal-spam.fr et retrouver les bons réflexes sur cybermalveillance.gouv.fr.

Pour aller plus loin : Reconnaître les arnaques qui suivent une fuite · Mon adresse e-mail est dans une fuite : que faire ?