Effacez vos données chez Auchan —
Plusieurs centaines de milliers de cartes Waaoh exposées, 2ᵉ fuite en 9 mois.
Demandez l'effacement maintenant. Il vous faut deux minutes, votre nom et votre email.
Tous les chiffres affichés ci-dessus (cartes fidélité Waaoh exposées, composition du foyer incluse, récidive en 9 mois) sont confirmés par ces 5 sources et par le communiqué d'Auchan à ses clients.
Auchan : votre carte fidélité a parlé. Et elle a tout dit sur votre famille.
Auchan a confirmé en août 2025 une deuxième cyberattaque en 9 mois, exposant les données fidélité Waaoh de plusieurs centaines de milliers de clients. Cette fois, l'attaque par credential stuffing n'a pas seulement révélé votre nom et votre email : elle a exposé la composition de votre foyer — nombre d'adultes, nombre d'enfants — ainsi que votre numéro de carte fidélité et le montant de votre cagnotte. C'est précisément le profil que ciblent les arnaques aux familles (faux remboursements école, fausses bourses CAF). Vous pouvez exiger la suppression complète de vos données au titre de l'article 17 du RGPD (droit à l'effacement) et l'arrêt immédiat de toute prospection commerciale au titre de l'article 21. Sheeldy envoie cette demande à votre place, gratuitement, au DPO officiel d'Auchan.
Ce qu'on sait de la fuite Auchan de août 2025
En août 2025, Auchan a notifié à ses clients fidélité une cyberattaque ayant exposé les données du programme Waaoh — soit la deuxième fuite en 9 mois, après celle de novembre 2024. L'origine technique est connue : il s'agit d'une attaque par credential stuffing, c'est-à-dire le rejeu massif, sur l'espace fidélité Waaoh, de couples email/mot de passe issus d'autres fuites de bases de données tierces. Les pirates n'ont pas « cassé » Auchan — ils ont profité du fait que de nombreux clients utilisent le même mot de passe sur plusieurs sites.
Auchan a publiquement attribué la cause à la réutilisation des mots de passe par ses clients. Ce message paternaliste a été immédiatement critiqué par les associations de consommateurs : après une première fuite en novembre 2024, Auchan aurait dû mettre en place des protections anti-credential-stuffing (limitation du nombre de tentatives, MFA obligatoire, détection comportementale). L'absence de ces protections fait peser sur l'enseigne — et non sur le client — la responsabilité juridique principale de la récidive.
La particularité — et la dangerosité spécifique — de cette fuite tient à la combinaison composition du foyer + numéro de carte fidélité. Avec ces données, un escroc peut composer un message d'arnaque chirurgicalement crédible : il connaît votre nom, le nombre d'enfants à votre charge, votre adresse, et peut s'appuyer sur votre numéro Waaoh pour se faire passer pour Auchan ou pour une administration (CAF, école). Le ciblage des familles nombreuses est une tendance des arnaques 2025 — la fuite Waaoh leur fournit la base idéale.
Quelles données ont fuité ?
Auchan a communiqué la liste précise des champs exposés. Bonne nouvelle : aucun élément bancaire (CB, IBAN), aucun code PIN, et les mots de passe ont été réinitialisés. La nature des données fidélité reste cependant très sensible pour les arnaques familiales personnalisées.
— Exposées
— Préservées
Ce que Sheeldy demande, et ce qu'Auchan doit obligatoirement faire
Sheeldy envoie à Auchan une demande RGPD cumulative, c'est-à-dire qu'elle invoque deux articles à la fois pour maximiser ce que vous obtenez :
- Article 17 du RGPD — droit à l'effacement : Auchan doit supprimer l'intégralité de votre compte fidélité et des données qu'il détient sur vous, dès lors qu'au moins l'un des motifs s'applique (retrait du consentement, fuite récente questionnant la licéité du maintien, données non nécessaires à la relation comptable…).
- Article 21 du RGPD — droit d'opposition à la prospection : Auchan doit cesser sans délai toute communication marketing, newsletter Waaoh, SMS promotionnel et profilage publicitaire. Ce droit est absolu et inopposable — aucune justification recevable de la part d'Auchan.
Ce qui est garanti immédiatement (art. 21) : l'arrêt de toutes les communications marketing, newsletters Waaoh, SMS commerciaux et utilisation de vos données pour du profilage publicitaire. Auchan n'a pas le droit de refuser.
Ce qui dépend des obligations comptables (art. 17) : la suppression complète de votre compte Waaoh et de votre historique d'achats. Auchan peut conserver certaines données pour répondre à ses obligations comptables et fiscales (article 17.3.b RGPD). En pratique, l'essentiel des données identifiantes, de la composition du foyer et des données marketing doit être supprimé, mais les traces nécessaires aux obligations légales (~10 ans pour les justificatifs comptables liés aux promotions encaissées) peuvent rester archivées.
Spécificité de la récidive — action collective et sanction CNIL. Comme il s'agit de la deuxième fuite Auchan en 9 mois, plusieurs associations de consommateurs étudient le lancement d'une action de groupe sur le fondement de l'article 80 RGPD. La CNIL, de son côté, pourrait sanctionner Auchan non plus seulement pour la fuite elle-même mais pour défaut de remédiation après la première — un manquement aggravé susceptible d'une amende plus lourde. Conserver la trace de votre demande Sheeldy peut être utile si vous décidez par la suite de rejoindre une action collective.
Auchan dispose d'un mois pour répondre formellement (article 12.3 RGPD), prolongeable à trois mois sur motivation. Sans réponse à J+30, vous pouvez saisir la CNIL.
Remonter au formulaireQuestions fréquentes — Fuite Auchan
Mes Waaoh Points et ma cagnotte fidélité peuvent-ils être dépensés par un pirate ?
Faut-il refuser la composition du foyer lors d'une inscription fidélité ?
Auchan Drive et Auchan Direct sont-ils concernés au même titre ?
Pourquoi Auchan se fait-il pirater deux fois en moins d'un an ?
Sheeldy envoie-t-il vraiment la demande à Auchan ?
Que faire avec ma carte Waaoh si je veux continuer à l'utiliser ?
Responsable de traitement : Sheeldy (sheeldy.com). Finalité : transmettre en votre nom au DPO de Belambra une demande d'effacement et d'opposition à la prospection (articles 17 et 21 RGPD), rédigée à la première personne. Base légale : votre demande explicite via le formulaire (art. 6.1.a RGPD). Destinataires : Belambra (DPO) et, le cas échéant, la CNIL en cas de recours. Durée de conservation : 3 ans pour la trace de la demande. Vos droits sur vos données chez Sheeldy : accès, rectification, effacement, opposition — à exercer auprès de privacy@sheeldy.com. Politique complète : conditions d'utilisation.