Fuite de données chez Loblaw: 2 millions de clients touchés
Vous avez reçu un courriel de Loblaw concernant un piratage informatique? Ce n'est pas une erreur. Les renseignements personnels d'environ deux millions de Canadiens ont été volés. Voici les risques auxquels on s'expose et les gestes à poser pour se protéger.
Une importante fuite de données touche les clients de Loblaw, l'entreprise derrière plusieurs enseignes bien connues au Québec, dont Maxi, Provigo et Pharmaprix.
Même si le piratage remonte à février 2026, c'est maintenant que plusieurs clients découvrent l'ampleur de la situation. Depuis le 19 octobre, Loblaw envoie des courriels et des lettres aux personnes touchées pour leur expliquer quelles informations ont été compromises.
Et ce qui inquiète, c'est que les pirates n'ont pas seulement mis la main sur des noms et des adresses courriel.
Comment les pirates ont-ils attaqué Loblaw?
En février 2026, des pirates ont utilisé des identifiants de connexion compromis pour accéder à une plateforme interne de Loblaw et voler des renseignements personnels.
Loblaw avait initialement annoncé une fuite de noms, de numéros de téléphone et d'adresses courriel. Mais l'enquête a révélé que davantage d'informations avaient été compromises. Au total, environ deux millions de Canadiens sont touchés.
Quelles données personnelles ont été volées?
Selon Loblaw, les pirates ont pu accéder à différents renseignements personnels:
- Les noms et prénoms.
- Les adresses courriel.
- Les numéros de téléphone.
- Les adresses résidentielles.
- Les dates de naissance.
- Les numéros de compte de fidélité.
- Certains renseignements sur les achats effectués.
- Les adresses de facturation et de livraison.
- Des informations partielles sur les cartes de paiement, comme les quatre derniers chiffres.
Tous les clients touchés n'ont pas nécessairement perdu les mêmes informations. Loblaw avait également indiqué que les mots de passe, les renseignements médicaux et les données complètes des cartes de crédit n'avaient pas été compromis.
Ce n'est donc pas parce que notre nom figure dans cette fuite que les pirates peuvent automatiquement accéder à notre compte bancaire. Mais les informations volées peuvent quand même être utilisées pour nous frauder.
Quels sont les risques de cette fuite?
Le principal danger, c'est que les fraudeurs peuvent utiliser nos renseignements personnels pour monter des arnaques beaucoup plus convaincantes.
Des courriels et textos frauduleux personnalisés
Imaginons qu'un pirate connaît notre nom, notre adresse courriel et certains détails de nos achats. Il pourrait nous envoyer un message qui semble provenir de PC Optimum, de Maxi ou de Pharmaprix.
Par exemple, un faux courriel pourrait prétendre qu'un problème a été détecté avec notre compte de fidélité et nous demander de confirmer nos informations.
Comme le message contient de véritables renseignements nous concernant, on risque davantage de tomber dans le piège.
Des risques de vol d'identité
L'autre problème concerne le vol d'identité.
Avec notre nom, notre date de naissance, notre adresse et notre numéro de téléphone, les fraudeurs disposent de plusieurs éléments pour tenter de se faire passer pour nous. Ils pourraient notamment essayer d'ouvrir des comptes ou de demander du crédit en utilisant notre identité.
Ça ne veut pas dire que tous les clients touchés seront victimes d'un vol d'identité. Mais le risque est suffisamment sérieux pour justifier certaines précautions.
Vous avez reçu un courriel de Loblaw?
Loblaw a commencé à communiquer directement avec les personnes touchées le 19 octobre 2026. Ces avis peuvent arriver par courriel ou par la poste.
Ils précisent normalement les renseignements personnels qui pourraient avoir été compromis et les mesures de protection offertes. L'entreprise utilise également les services de Cyberscout, une division de TransUnion, pour communiquer avec certaines personnes concernées.
Cependant, les fraudeurs pourraient profiter de cette situation pour envoyer de faux avis de sécurité au nom de Loblaw ou de TransUnion. Avant de cliquer sur un lien ou de fournir des renseignements personnels, mieux vaut vérifier la provenance du message.
Pour consulter l'information officielle, rendez-vous directement sur le site de Loblaw concernant la fuite de données.
On peut également joindre l'entreprise au 1 800 296-2332.
Et si vous avez un doute sur un message reçu, consultez notre chronique pour apprendre à reconnaître les courriels frauduleux et les tentatives d'hameçonnage.
Reconnaître les courriels frauduleux et les tentatives d'hameçonnage
Comment se protéger après ce piratage?
Même si les renseignements ont déjà été volés, plusieurs mesures peuvent nous aider à limiter les risques.
1. Profiter de la surveillance de crédit gratuite
Loblaw offre aux personnes concernées, des services gratuits de surveillance du crédit et de protection contre le vol d'identité par l'entremise de TransUnion. Si votre avis vous donne accès à ce service, nous vous recommandons d'en profiter.
Il peut aussi aider à repérer des activités suspectes dans notre dossier de crédit.
Prenez toutefois soin de vérifier l'authenticité de l'offre avant de transmettre vos informations.
2. Geler son dossier de crédit
Au Québec, on peut gratuitement verrouiller son dossier de crédit auprès d'Equifax et de TransUnion. C'est une protection intéressante lorsqu'on apprend que nos renseignements personnels ont été compromis.
En gelant notre dossier, on rend beaucoup plus difficile l'ouverture d'un nouveau compte de crédit à notre nom. Et on peut retirer temporairement le gel lorsqu'on doit faire une demande de financement.
On vous explique exactement comment verrouiller gratuitement votre dossier de crédit chez Equifax et TransUnion.
Comment verrouiller son dossier de crédit
3. Vérifier ses comptes et ses mots de passe
Puisque les mots de passe n'ont pas été identifiés comme compromis dans cette attaque, il n'est pas nécessaire de tous les changer uniquement à cause de cette fuite. Par contre, c'est un bon moment pour vérifier la sécurité de nos comptes.
On recommande de:
- Utiliser un mot de passe unique pour chaque compte.
- Changer immédiatement tout mot de passe qu'on soupçonne d'avoir été compromis.
- Activer la double authentification lorsque c'est possible.
- Surveiller nos comptes bancaires et nos comptes de fidélité pour détecter des activités inhabituelles.
La double authentification reste l'une des protections les plus simples pour empêcher quelqu'un d'accéder à nos comptes.
Comment activer la double authentification
4. Redoubler de vigilance face aux fraudes
Dans les prochaines semaines et les prochains mois, il faudra particulièrement se méfier des messages qui semblent provenir de Loblaw ou d'une de ses enseignes.
Les fraudeurs pourraient tenter de nous faire croire que nos points PC Optimum sont sur le point d'expirer ou qu'il faut confirmer nos informations à la suite du piratage. Même chose pour les appels téléphoniques.
Si quelqu'un prétend travailler pour Loblaw, notre banque ou TransUnion, on raccroche et on communique directement avec l'organisme concerné par ses coordonnées officielles.
5. Signaler toute activité frauduleuse
Si on constate qu'un compte a été ouvert à notre nom ou qu'une transaction suspecte a été effectuée, il faut agir rapidement. On communique avec notre institution financière, les agences de crédit et notre service de police local.
On peut également signaler la fraude au Centre antifraude du Canada, au 1 888 495-8501.
Et si on n'a reçu aucun courriel?
Si vous avez un compte PC Optimum ou que vous magasinez chez Maxi, Provigo ou Pharmaprix, ça ne signifie pas automatiquement que vos renseignements ont été volés.
Loblaw affirme communiquer directement avec les personnes touchées. L'entreprise doit confirmer au Commissariat à la protection de la vie privée du Canada que toutes les personnes concernées ont été avisées d'ici le 16 novembre 2026.
Il est donc possible que certains avis ne soient pas encore arrivés. En attendant, rien ne nous empêche de prendre les mesures de prévention mentionnées plus haut.
Faut-il s'inquiéter de cette fuite de données?
Ceci est un rappel qu'on n'a pas besoin de se faire voler directement son mot de passe pour être exposé à des risques. Des renseignements aussi simples que notre nom, notre adresse et notre date de naissance peuvent aider les fraudeurs à monter des arnaques.
Si vous recevez un avis de Loblaw, prenez le temps de le lire, de vérifier quelles données vous concernant ont été touchées et de profiter des protections offertes.
Et surtout, n'attendez pas d'être victime d'une fraude pour protéger votre dossier de crédit. Quelques minutes de prévention peuvent nous éviter bien des problèmes!
