Un pirate informatique affirme détenir les données personnelles de près de 42 millions de clients de Canadian Tire, incluant ceux de Sports Experts, L’Équipeur, SportChek, Mark’s, PartSource, Party City et Pro Hockey Life. Ces informations seraient actuellement en vente sur le dark web pour la somme de 100 000 $ US, selon plusieurs sources en cybersécurité.
Alors que la direction de Canadian Tire minimise la portée de la brèche, plusieurs experts estiment que cette fuite pourrait devenir l’un des plus importants incidents de sécurité informatique de l’histoire commerciale canadienne.
Une intrusion confirmée, mais des chiffres qui divergent
Canadian Tire a reconnu, le 2 octobre 2025, avoir subi une intrusion dans une base de données utilisée pour ses plateformes transactionnelles. L’entreprise soutient que moins de 150 000 clients ont été touchés et que seules certaines dates de naissance auraient été compromises, sans fuite complète de données bancaires.
Or, sur un forum du dark web, un individu identifié sous le pseudonyme « DataBrokerX » prétend détenir 41 994 793 profils clients complets. Il affirme que ces profils contiennent les noms, adresses postales, courriels, dates de naissance, mots de passe chiffrés et fragments de numéros de cartes de crédit.
« J’ai accès à la totalité du système de commerce électronique et au programme de fidélité Triangle », écrit-il dans un message accompagné d’images de preuve. Il propose le fichier complet pour 100 000 dollars américains.
Ces déclarations contredisent la version officielle de Canadian Tire, mais des experts affirment que la présence d’échantillons de données authentifiées justifie une prise au sérieux de la menace.
Des marques liées et une faille potentiellement commune
La société Canadian Tire Corporation regroupe plusieurs enseignes phares du commerce de détail canadien. Même si les sites web de ces marques sont gérés séparément, ils partagent souvent des systèmes d’authentification et des infrastructures infonuagiques communes.
Cette interconnexion pourrait expliquer la portée de la fuite, puisque la compromission d’un seul serveur central d’accès pourrait exposer simultanément les comptes de millions d’utilisateurs à travers différentes plateformes.
Données compromises et nature de la menace
Les informations dérobées incluraient les noms et adresses postales, les courriels, les dates de naissance et les mots de passe chiffrés.
Certaines entrées contiendraient également des numéros de carte de crédit tronqués, similaires à ceux apparaissant sur les reçus de transaction.
Si les mots de passe sont effectivement chiffrés, les pirates pourraient tenter de les déchiffrer ou de les exploiter dans des attaques ciblées de type hameçonnage ou d’usurpation d’identité.
Les experts rappellent que les bases de données volées peuvent être revendues à d’autres groupes cybercriminels, souvent spécialisés dans la fraude financière ou la revente d’informations personnelles.
Réaction de Canadian Tire et mesures annoncées
L’entreprise a confirmé avoir corrigé la faille et mandaté l’agence TransUnion pour offrir un service gratuit de surveillance du crédit aux clients potentiellement touchés.
Les personnes concernées recevront un courriel officiel de TransUnion afin de pouvoir surveiller toute activité suspecte liée à leur dossier de crédit.
« Nous avons agi rapidement pour contenir la menace et collaborons avec des experts indépendants afin de renforcer nos systèmes », a déclaré un porte-parole de Canadian Tire.
La société assure également que le programme de fidélité Triangle n’a pas été compromis, mais plusieurs spécialistes jugent la communication de l’entreprise partielle et tardive.
L’inquiétude grandit parmi les experts
L’écart important entre les 150 000 comptes reconnus par Canadian Tire et les 42 millions annoncés par le pirate alimente la méfiance.
Selon André Leclerc, consultant en cybersécurité à Montréal, cette situation illustre un problème de transparence récurrent.
« Dans plusieurs cas récents, les entreprises commencent par minimiser la portée de l’attaque, avant de réviser leurs chiffres à la hausse une fois les enquêtes approfondies terminées. Il faut toujours envisager le pire scénario jusqu’à preuve du contraire », explique-t-il.
Mesures préventives pour les consommateurs
Même si aucune fraude directe n’a encore été rapportée, les experts recommandent à tous les clients ayant un compte en ligne lié à Canadian Tire ou à ses filiales d’adopter plusieurs précautions immédiates :
- Modifier leurs mots de passe et utiliser des combinaisons uniques et complexes pour chaque site.
- Activer l’authentification à deux facteurs pour empêcher tout accès non autorisé.
- Geler temporairement leur dossier de crédit auprès de TransUnion et d’Equifax afin d’éviter toute ouverture de compte frauduleuse.
- Surveiller attentivement leurs relevés bancaires et leurs courriels afin de détecter toute tentative d’hameçonnage.
- Utiliser des outils de vérification tels que Have I Been Pwned pour savoir si leurs adresses courriel ont déjà été compromises.
Une multiplication des cyberattaques au Canada
Le Centre canadien pour la cybersécurité a recensé plus de 1 800 incidents majeurs depuis le début de l’année 2025, dont près d’une trentaine dans le secteur du commerce de détail.
Ces attaques visent de plus en plus les programmes de fidélité, les bases de données clients et les services de commerce électronique, où circulent une grande quantité d’informations sensibles.
Les pirates exploitent généralement des failles dans les systèmes d’authentification ou les infrastructures partagées par plusieurs marques d’un même groupe.
Un défi de confiance pour Canadian Tire
Cette attaque survient dans un contexte où la confiance numérique des consommateurs est déjà fragile.
Canadian Tire, entreprise emblématique fondée en 1922, jouit d’une image de marque profondément ancrée dans la culture canadienne.
Mais selon Marie-Claude Dion, professeure en gestion du risque numérique à l’Université de Sherbrooke, l’impact d’une fuite de cette ampleur pourrait s’étendre bien au-delà des pertes de données.
« Le véritable dommage se mesure dans la perte de confiance. Les consommateurs se souviennent de la façon dont une entreprise gère une crise. Si la transparence est incomplète, la réputation en souffre durablement », souligne-t-elle.
En résumé
- Un pirate affirme détenir 42 millions de profils clients de Canadian Tire.
- L’entreprise confirme une intrusion, mais parle de 150 000 comptes affectés.
- Les données volées comprendraient des noms, courriels, adresses et mots de passe chiffrés.
- Les clients touchés recevront une offre de surveillance de crédit gratuite via TransUnion.
- Les experts recommandent d’adopter des mesures de sécurité renforcées immédiatement.
- À propos
- Dernières publications
