Le 26 septembre 2026, une enseigne que des millions de Français fréquentent chaque semaine s’est retrouvée au centre d’une affaire qu’elle n’a pas provoquée. Carrefour a informé certains de ses clients que leurs noms, prénoms, adresses électroniques et numéros de téléphone avaient été exposés à la suite d’un incident de sécurité survenu chez l’un de ses prestataires. L’enseigne précise qu’aucune donnée bancaire ni aucun mot de passe n’a été compromis, et elle invite ses clients à se méfier des messages frauduleux qui pourraient exploiter ces informations. Le prestataire n’est pas nommé dans la communication adressée aux clients, mais les recoupements disponibles désignent Shipup, la plateforme française de suivi des colis déjà impliquée dans plusieurs fuites touchant de grandes enseignes, après l’exploitation d’une faille du logiciel d’analyse Metabase, référencée CVE-2026-72898, avec des accès non autorisés constatés entre le 31 juillet et le 17 août 2026. Shipup accompagne plus de 700 marques, et la liste des enseignes touchées par la même compromission ne cesse de s’allonger : Micromania, Easypara, Printemps, Citadium, Aroma-Zone ou encore Nature et Découvertes ont adressé des notifications comparables à leurs propres clients.

La réponse tient en une phrase : quand le prestataire d’une enseigne est compromis, chaque entreprise de la chaîne reste responsable de ses propres obligations, et chacune doit prouver ce qu’elle avance. Le franchisé qui subit une vague de réclamations dans son magasin ne peut ni ignorer les clients ni imputer automatiquement ses pertes à la tête de réseau. Le fournisseur dont les marchandises ou les factures transitent par des systèmes perturbés doit tracer l’incident plutôt que de le subir en silence. L’entreprise cliente, qu’elle achète pour revendre ou qu’elle confie ses propres fichiers clients à un intermédiaire, doit vérifier son contrat, notifier dans les délais et chiffrer son préjudice. Et l’enseigne comme le prestataire ne s’exonèrent ni par l’ampleur de l’attaque ni par la sophistication de la faille : le droit français des contrats exige une preuve, pas une explication.

Deux réserves s’imposent avant d’aller plus loin. D’abord, les faits sont ceux constatés au 27 septembre 2026 : une notification adressée par Carrefour à certains clients début septembre, une compromission du prestataire circonscrite selon les éléments disponibles à des coordonnées de contact, sans données bancaires ni mots de passe, et un nombre de clients concernés qui n’a pas été rendu public. Si des investigations ultérieures révélaient des données plus sensibles ou une compromission directe des systèmes de l’enseigne, l’analyse changerait de nature et les obligations de notification prendraient une autre ampleur. Ensuite, chaque situation dépend des contrats réellement signés : contrat de franchise et ses clauses d’assistance et d’approvisionnement, conditions générales du prestataire et ses engagements de sécurité, police d’assurance et ses délais de déclaration. Cet article donne la carte des conséquences et des décisions pour les professionnels de la chaîne, pas un verdict sur un dossier particulier.

I. La carte des conséquences : du prestataire compromis jusqu’aux magasins et aux partenaires

A. L’étage du prestataire et de l’enseigne : celui qui détenait les données et celle qui répond devant ses clients

Shipup fournit aux sites de commerce électronique le suivi des colis et les notifications post-achat : pour envoyer un message annonçant une livraison, il faut détenir le nom, l’adresse électronique et souvent le numéro de téléphone du destinataire. C’est précisément cette copie opérationnelle des données, détenue pour les besoins du service, qui a été consultée sans autorisation après l’exploitation de la faille Metabase. Le schéma est celui que la Commission nationale de l’informatique et des libertés décrit dans sa page consacrée aux cyberattaques visant les sous-traitants : un prestataire qui traite des données pour le compte de ses clients, un attaquant qui s’introduit dans son système, et des conséquences qui se propagent chez toutes les entreprises clientes sans que leurs propres systèmes aient été directement compromis (Cyberattaque : le sous-traitant au centre de la crise). La Commission y rappelle que le sous-traitant doit aider ses clients concernés à effectuer leur propre notification, et qu’il doit lui-même notifier lorsqu’il est concerné en tant que responsable de ses propres traitements, avec un délai de soixante-douze heures pour cette notification.

Pour Carrefour, la situation est celle du responsable qui confie des données à un sous-traitant et qui doit assumer vis-à-vis de ses clients, puis se retourner contre son prestataire. L’enseigne a choisi d’informer les clients concernés, de circonscrire publiquement les catégories de données exposées et d’alerter sur le risque d’hameçonnage. Cette communication, dont une copie a été consultée par le site d’information spécialisé qui a révélé l’affaire le 26 septembre 2026, constitue la première pièce du dossier de preuve de l’enseigne : elle établit la date de sa réaction, le périmètre annoncé et les consignes données (Carrefour : des données clients exposées après la cyberattaque de son prestataire). Les autres enseignes touchées par la même vague, notamment Aroma-Zone le 8 septembre et Nature et Découvertes le 14 septembre 2026, ont procédé de la même manière, en précisant que leurs propres systèmes n’avaient pas été compromis et que l’exposition provenait des informations transmises au prestataire pour le suivi des livraisons.

C’est ici que le droit des contrats reprend la main, car la compromission du prestataire ne suspend ni n’efface les obligations de l’enseigne envers ses propres clients et partenaires. Le Code civil pose que les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits (article 1103 du Code civil), avec cette citation exacte : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Et il ajoute que les contrats doivent être négociés, formés et exécutés de bonne foi, dans une disposition déclarée d’ordre public (article 1104 du Code civil) : « Les contrats doivent être négociés, formés et exécutés de bonne foi. Cette disposition est d’ordre public. » Concrètement, l’enseigne ne peut pas opposer à un franchisé ou à un fournisseur la cyberattaque de son prestataire comme une excuse générale : elle doit exécuter ses obligations d’approvisionnement, d’assistance et de paiement, ou démontrer précisément en quoi l’incident l’en a empêchée. Symétriquement, le prestataire compromis ne peut pas se retrancher derrière la mondialité de la faille logicielle : le fait qu’une vulnérabilité ait touché de nombreuses entreprises ne prouve ni qu’elle était imprévisible pour un professionnel de l’hébergement de données, ni que ses effets étaient inévitables avec des mesures appropriées.

La question de la force majeure mérite d’être posée avec exactitude, car elle sera invoquée à tous les étages de la chaîne. Le Code civil la définit strictement (article 1218 du Code civil) : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Trois conditions cumulatives, donc : extériorité, imprévisibilité raisonnable au jour du contrat, irrésistibilité malgré des mesures appropriées. Une cyberattaque contre un prestataire remplit rarement ces trois conditions d’un coup : les attaques visant les sous-traitants sont documentées depuis des années, les correctifs de sécurité font partie des mesures appropriées attendues d’un professionnel, et l’empêchement doit être établi obligation par obligation. L’enseigne qui invoque la compromission de Shipup pour justifier un retard d’approvisionnement devra prouver que ce retard précis résulte de cet incident précis et qu’aucune mesure de contournement n’était possible. Le même raisonnement vaut pour le prestataire face à l’enseigne : la faille d’un logiciel tiers n’est exonératoire que si le prestataire démontre qu’elle ne pouvait être raisonnablement anticipée et que ses effets ne pouvaient être évités une fois connue.

B. L’étage du réseau et des partenaires : franchisés, fournisseurs et entreprises clientes en première ligne

Carrefour exploite une large partie de ses magasins de proximité et de ses supermarchés en franchise ou en location-gérance : des commerçants indépendants qui portent l’enseigne, paient des redevances et dépendent de la centrale pour l’approvisionnement, les systèmes d’encaissement, les programmes de fidélité et la réputation de la marque. Quand une fuite de données frappe l’enseigne au niveau national, c’est pourtant le franchisé de quartier qui reçoit les questions des clients au comptoir, qui voit arriver les faux messages de livraison contestés, et qui peut subir une baisse de fréquentation sans y être pour rien. Le franchisé doit donc gérer deux fronts à la fois : rassurer ses propres clients avec les éléments communiqués par la tête de réseau, et documenter ses propres pertes pour une discussion ultérieure avec l’enseigne.

Le contrat de franchise ne disparaît pas parce que l’enseigne traverse une crise informatique. La cour d’appel de Paris l’a rappelé avec constance dans un litige opposant la tête d’un réseau de services à la personne à deux de ses franchisés : après des contrats de franchise conclus en novembre 2016 avec redevances proportionnelles au chiffre d’affaires, la cour a confirmé le jugement, condamné le franchisé à payer plus de vingt-huit mille euros au titre de la régularisation des redevances arrêtée au 30 avril 2023, et rejeté sa demande reconventionnelle de plus de quatre-vingt-six mille euros, tout en déclarant recevables ses demandes relatives au fonctionnement des logiciels informatiques (cour d’appel de Paris, pôle 5, chambre 11, 10 janvier 2025, RG 22/13508). L’enseignement pour le franchisé Carrefour est double : les redevances restent dues même quand les outils du réseau dysfonctionnent, mais les griefs relatifs aux systèmes informatiques fournis par la tête de réseau sont recevables et peuvent fonder des demandes. Un franchisé qui estimerait que l’enseigne a manqué à son obligation d’assistance ou de sécurité des données confiées doit donc continuer d’exécuter ses propres obligations, tout en constituant méthodiquement le dossier de ses manquements reprochés.

Le régime légal de la franchise éclaire aussi les décisions à prendre avant même la crise, au moment du choix du réseau. Le Code de commerce impose à celui qui concède une enseigne avec une exigence d’exclusivité de fournir préalablement un document d’information sincère permettant de s’engager en connaissance de cause (article L330-3 du Code de commerce) : « Toute personne qui met à la disposition d’une autre personne un nom commercial, une marque ou une enseigne, en exigeant d’elle un engagement d’exclusivité ou de quasi-exclusivité pour l’exercice de son activité, est tenue, préalablement à la signature de tout contrat conclu dans l’intérêt commun des deux parties, de fournir à l’autre partie un document donnant des informations sincères, qui lui permette de s’engager en connaissance de cause. » Un candidat à la franchise d’une enseigne à fort système informatique intégré peut légitimement interroger la centrale sur la sécurité des données clients, la dépendance à des prestataires uniques et les plans de continuité : ces questions relèvent de l’information sincère sur l’état et les perspectives du réseau. Une fois le contrat signé, le franchisé en difficulté ne peut pas suspendre unilatéralement ses paiements au motif de la crise : il doit payer puis réclamer, ou saisir le juge, car l’exception d’inexécution suppose une inexécution suffisamment grave de l’autre partie et expose à des risques contentieux majeurs.

Les fournisseurs de l’enseigne et de ses franchisés forment le deuxième cercle des professionnels exposés. Un fournisseur de produits frais, un prestataire de transport ou une agence de communication qui travaille avec des magasins de l’enseigne peut voir ses bons de commande retardés, ses factures contestées ou ses campagnes parasitées par des messages frauduleux usurpant la marque. Sa première décision est de sécuriser ses propres créances : le Code de commerce encadre strictement les délais de paiement, avec un plafond légal supplétif (article L441-10 du Code de commerce) : « Sauf dispositions contraires figurant aux conditions de vente ou convenues entre les parties, le délai de règlement des sommes dues ne peut dépasser trente jours après la date de réception des marchandises ou d’exécution de la prestation demandée. » La crise informatique du client n’autorise pas ce dernier à dépasser unilatéralement les délais convenus : tout retard doit être constaté par écrit, relancé, puis chiffré avec pénalités contractuelles. Le tribunal de commerce de Grenoble vient d’illustrer cette rigueur probatoire dans un litige entre professionnels : condamnation à plus de seize mille euros au titre de factures impayées, intérêts au taux de trois fois l’intérêt légal à compter de dates précises, et rejet de la demande au titre de la clause pénale faute de justification suffisante (tribunal de commerce de Grenoble, 4 septembre 2026, RG 2025J00286). Le fournisseur qui subit les à-coups d’une enseigne en crise doit donc facturer avec exactitude, relancer par écrit et n’attendre de la clause pénale que ce qu’il peut prouver.

Les entreprises clientes, troisième cercle, sont celles qui achètent à l’enseigne pour les besoins de leur activité : restaurateurs qui s’approvisionnent en grande surface, artisans qui équipent leurs équipes, petites sociétés qui offrent des cartes cadeaux à leurs salariés. Quand leurs coordonnées exposées servent à des campagnes d’hameçonnage ciblées, elles subissent un préjudice propre : temps de traitement des messages frauduleux, commandes passées par erreur auprès de faux interlocuteurs, voire virements détournés après usurpation d’identité du fournisseur. Leur décision immédiate est de verrouiller leurs processus de paiement : double validation des changements de coordonnées bancaires, vérification par un canal indépendant de toute instruction reçue par message, information des équipes comptables avec des exemples concrets tirés de l’incident. Leur décision de fond est contractuelle : relire les conditions générales du programme de fidélité professionnelle ou du compte entreprise, vérifier les engagements de sécurité de l’enseigne et adresser une réclamation écrite et chiffrée si un préjudice direct est établi.

II. Décisions et preuves : ce que chaque professionnel doit faire maintenant

A. Tracer l’incident, notifier dans les délais et préserver les preuves

La première décision, commune à tous les étages, est de constituer le dossier avant de réclamer quoi que ce soit. Le droit français fait peser la charge de la preuve sur celui qui réclame : le Code civil dispose que celui qui réclame l’exécution d’une obligation doit la prouver, et que celui qui se prétend libéré doit justifier le fait qui a éteint son obligation (article 1353 du Code civil) : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Le tribunal judiciaire de Paris a appliqué cette exigence sans indulgence en février 2025, en déboutant un demandeur de l’ensemble de ses demandes, dépens à sa charge (tribunal judiciaire de Paris, 5e chambre, 2e section, 13 février 2025, RG 21/07085). Un franchisé qui impute une baisse de chiffre d’affaires à la fuite de données, un fournisseur qui réclame des pénalités de retard, une entreprise cliente qui demande le remboursement d’un virement frauduleux : tous devront produire des pièces, pas des affirmations.

Concrètement, le dossier de preuve se constitue dans les premiers jours. Conserver la notification reçue de l’enseigne ou du prestataire, avec ses en-têtes complets et sa date de réception. Capturer les messages frauduleux reçus par les clients ou les équipes, avec les numéros expéditeurs, les adresses et les liens, sans cliquer sur ces derniers. Extraire les journaux de commandes, de livraisons et de paiements sur la période de l’incident et sur une période comparable antérieure, pour chiffrer l’écart. Faire constater par écrit les dysfonctionnements : courriers de relance au franchiseur ou au fournisseur avec accusés de réception, constats d’huissier pour les pages ou messages litigieux, attestations circonstanciées des salariés ayant traité les incidents. Déclarer le sinistre à l’assureur dans le délai du contrat, même si le préjudice n’est pas encore chiffré, car une déclaration tardive peut priver de garantie. Et pour les traitements de données personnelles compromis, respecter la chaîne des notifications : le sous-traitant alerte ses clients responsables sans retard injustifié, chaque responsable notifie à la Commission nationale de l’informatique et des libertés et, lorsque le risque pour les personnes est élevé, informe les personnes concernées. La page de la Commission consacrée aux violations chez les sous-traitants détaille cette articulation et invite les professionnels à préparer ces notifications avec les éléments techniques recueillis auprès des équipes (page de la CNIL sur les violations chez les sous-traitants).

La deuxième décision est de notifier à la bonne personne et dans la bonne forme. Le franchisé écrit à la tête de réseau : signalement des réclamations clients reçues en magasin, demande des consignes officielles et des éléments de langage, demande des mesures correctives avec un calendrier, réserve écrite de ses droits à indemnisation. Le fournisseur écrit à son client : relance des factures échues avec décompte des pénalités, mise en demeure avant toute suspension de livraison, proposition de mesures conservatoires comme un acompte ou une garantie. L’entreprise cliente écrit à l’enseigne : réclamation décrivant le préjudice subi, avec pièces, et demande de mesures de sécurisation de son compte professionnel. Chacun de ces courriers doit être envoyé en recommandé avec accusé de réception ou par un moyen offrant une preuve équivalente de l’envoi et de la réception, car la date de la mise en demeure conditionne souvent le point de départ des intérêts et l’ouverture des recours. Ces courriers ne sont pas des formalités : ce sont eux qui permettront, des mois plus tard, de démontrer que le créancier a agi de bonne foi et que le débiteur a été mis en mesure de remédier à la situation.

La troisième décision est de ne pas aggraver le dommage. Le Code civil permet au créancier, après mise en demeure, de faire exécuter lui-même l’obligation dans un délai et à un coût raisonnables et d’en demander le remboursement au débiteur (article 1222 du Code civil) : « Après mise en demeure, le créancier peut aussi, dans un délai et à un coût raisonnables, faire exécuter lui-même l’obligation ou, sur autorisation préalable du juge, détruire ce qui a été fait en violation de celle-ci. Il peut demander au débiteur le remboursement des sommes engagées à cette fin. Il peut aussi demander en justice que le débiteur avance les sommes nécessaires à cette exécution ou à cette destruction. » Pour un franchisé privé de son outil de fidélité, cela peut signifier la mise en place temporaire d’une solution de substitution sobre et documentée, dont le coût sera ensuite réclamé. Pour un fournisseur dont les flux d’information sont perturbés, cela peut signifier le basculement sur un canal de commande de secours convenu par écrit. Mais cette faculté de remplacement ne doit jamais devenir une résiliation déguisée : résilier un contrat de franchise ou un contrat-cadre de fourniture sans l’aval du juge ou sans clause résolutoire valablement mise en œuvre expose à des dommages et intérêts inverses.

B. Chiffrer le préjudice, mettre en demeure et agir contre le bon débiteur

Une fois le dossier constitué, la décision stratégique est de diriger l’action contre le bon débiteur et sur le bon fondement. Le franchisé agit d’abord contre la tête de réseau sur le terrain contractuel : manquement à l’obligation d’assistance, défaut de sécurité des outils mis à disposition, atteinte à l’image de l’enseigne dont il subit le contrecoup. Le fournisseur agit contre son client direct, enseigne ou franchisé selon le cas, sur le terrain du paiement et des pénalités. L’entreprise cliente victime d’hameçonnage agit contre l’enseigne si elle démontre un lien direct entre la fuite et son préjudice, et contre sa propre banque le cas échéant selon les règles propres aux opérations de paiement. Quant à l’enseigne, elle agit contre son prestataire Shipup sur le terrain de la responsabilité contractuelle du sous-traitant : manquement aux engagements de sécurité, défaut d’information et de coopération dans la gestion de la violation. Chaque action suppose de respecter la chaîne des contrats : le franchisé n’a pas de lien direct avec Shipup et ne peut pas l’assigner sur le fondement d’un contrat auquel il n’est pas partie, sauf à établir une faute délictuelle distincte, ce qui est un exercice exigeant.

Le fondement de la responsabilité contractuelle est posé par le Code civil : le débiteur est condamné, s’il y a lieu, à des dommages et intérêts pour inexécution ou retard, sauf s’il justifie que l’exécution a été empêchée par la force majeure (article 1231-1 du Code civil) : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Trois mots doivent retenir l’attention : s’il y a lieu. Les dommages et intérêts ne sont ni automatiques ni forfaitaires : le juge vérifie la faute ou l’inexécution, le préjudice certain et direct, et le lien de causalité. La vague Shipup illustre cette exigence : des centaines de milliers de coordonnées exposées ne signifient pas des centaines de milliers de victimes indemnisables. Le client qui n’a reçu aucun message frauduleux et n’a subi aucune perte n’a pas de préjudice réparable, même si ses données figurent dans la base compromise. Le professionnel qui réclame doit donc chiffrer poste par poste : marge perdue sur la période documentée, coûts des mesures de substitution, frais de constat et de conseil, temps de traitement valorisé avec prudence, atteinte à l’image seulement si elle est établie par des éléments objectifs.

La mise en demeure est le pivot entre la phase amiable et la phase contentieuse, et elle doit être rédigée comme une pièce de procédure. Elle rappelle le contrat et l’obligation inexécutée, décrit les faits avec leurs dates, chiffre la demande avec ses justificatifs, impartit un délai raisonnable pour s’exécuter ou proposer une solution, et annonce les suites en cas de silence : suspension strictement proportionnée des obligations réciproques si les conditions en sont réunies, saisine du tribunal compétent, demande d’expertise judiciaire si les causes techniques sont contestées. Elle est adressée au représentant légal de la société débitrice, au siège social, avec copie au interlocuteur opérationnel. Pour les litiges entre commerçants, la juridiction de principe est le tribunal de commerce, et les parties peuvent convenir d’une clause attributive de compétence ou d’une clause compromissoire dont il faut vérifier l’existence avant d’agir. Pour les litiges mêlant des non-commerçants ou des questions de données personnelles, le tribunal judiciaire peut être compétent, et une plainte auprès de la Commission nationale de l’informatique et des libertés peut compléter, sans remplacer, l’action en réparation devant le juge.

Reste la question que tout professionnel pose en dernier et qui conditionne toutes les autres : combien de temps pour agir. Les actions contractuelles entre professionnels se prescrivent en principe par cinq ans, mais les contrats raccourcissent souvent ce délai par des clauses de forclusion ou des obligations de réclamation rapide, et les polices d’assurance imposent des déclarations en quelques jours. Les preuves numériques, elles, se dégradent vite : journaux de connexion écrasés par rotation, messages frauduleux supprimés, souvenirs des équipes qui s’estompent. La décision la plus rentable de tout ce dossier est donc la plus humble : écrire aujourd’hui ce qui s’est passé hier, avec des dates, des noms et des montants, et conserver les pièces dans un dossier dédié. Pour qualifier ces étages de responsabilité entre professionnels, chiffrer le recours contre le prestataire ou la tête de réseau et agir dans les délais que les textes imposent, l’accompagnement par des avocats en droit des affaires à Paris habitués aux litiges entre entreprises, franchisés et fournisseurs permet de transformer un dossier d’incident bien tenu en demande indemnitaire crédible.

En définitive, l’affaire Carrefour-Shipup de septembre 2026 n’est ni une catastrophe juridique ni un simple fait divers informatique : c’est un test grandeur nature de la chaîne des contrats qui relie un prestataire de suivi de colis à une enseigne nationale, puis à ses franchisés, à ses fournisseurs et aux entreprises qui achètent chez elle. Le prestataire a corrigé la faille et révoqué les accès selon les éléments communiqués, l’enseigne a notifié et alerté, et chaque professionnel de la chaîne dispose désormais des pièces pour agir : notification conservée, messages frauduleux capturés, écarts de chiffre d’affaires documentés, courriers de mise en demeure envoyés dans les formes. Les décisions françaises de 2025 et 2026 le confirment avec constance : ni l’ampleur de l’attaque ni la sophistication de la faille ne dispensent de prouver, et seule la preuve conservée à temps ouvre droit à réparation. La prochaine compromission d’un prestataire commun ne demandera pas si l’entreprise était inquiète, mais si son dossier était prêt.