Fuite de données Beauty Success : que faire en salon ?

La fuite de données Beauty Success concerne des millions de fiches clients de l'enseigne de parfumeries et d'instituts de beauté : noms, prénoms, dates de naissance, identifiants de carte de fidélité et, pour une partie, adresses e-mail. Si vous tenez un salon ou un institut, vous n'êtes pas visé directement, mais vos clientes ont pu être touchées et peuvent recevoir de faux messages. Le plus utile aujourd'hui : les prévenir, vérifier vos propres accès et savoir ce que le RGPD vous demande si la fuite venait de chez vous.

Que s'est-il passé dans la fuite de données Beauty Success ?

Voici ce que l'on sait, et ce qui reste flou. Les chiffres circulent différemment selon les médias, et je préfère vous le dire plutôt que de vous donner un nombre rond.

• 21 août 2026 : un vendeur publie sur un forum cybercriminel une base qu'il attribue à Beauty Success. Selon Fuites Infos, il annonce plus de 10 millions d'enregistrements, dont environ 5,17 millions uniques. Fuites Infos estime le lot à environ 4,7 millions de personnes distinctes.
• Octobre 2026 : NOVI, qui exploite l'enseigne, publie un avis d'information. Il attribue l'accès non autorisé à un incident de sécurité chez un prestataire qu'il ne nomme pas, et indique avoir notifié la CNIL.
• 5 novembre 2026 : une nouvelle alerte est référencée par le site spécialisé FrenchBreaches, avec une estimation d'environ 3 millions de personnes. Je n'ai pas pu vérifier si elle correspond à la même base ou à une mise à jour, et les sources ne s'accordent pas sur le total.

Autrement dit : l'incident est reconnu par l'exploitant, mais le nombre exact de personnes touchées n'est pas officiel. Toute cifre de « 3 millions », « 4,7 millions » ou « 5 millions » est une estimation.

Quelles données sont concernées ?

D'après l'avis de NOVI relayé par Fuites Infos, les données incluent civilité, nom, prénom, date de naissance et identifiant de carte de fidélité. L'adresse e-mail est présente pour une partie des fiches. NOVI cite aussi l'adresse postale, le téléphone et le solde de points. Les mots de passe et les données bancaires sont indiqués comme exclus. Une minorité de fiches concerneraient des mineurs.

C'est important pour la suite : sans mot de passe ni carte bancaire, le danger n'est pas le piratage direct d'un compte. C'est l'hameçonnage (phishing) : des messages très crédibles, car ils connaissent le prénom et la date de naissance de la personne.

Pourquoi cela vous concerne-t-il, si vous n'êtes pas Beauty Success ?

Trois raisons très concrètes.

1. Vos clientes sont aussi, pour beaucoup, des clientes de grandes enseignes. Une cliente de votre institut peut très bien avoir une carte de fidélité Beauty Success. Elle risque de recevoir un faux SMS de « remboursement » ou de « points à récupérer », et de vous demander si c'est vrai.
2. Les escrocs usurpent aussi les petits commerces. Un faux message « votre rendez-vous chez [votre salon] nécessite un acompte, cliquez ici » marche d'autant mieux que la personne attend réellement un rendez-vous.
3. Vous êtes vous-même responsable des données de vos clientes. Cette actualité est un bon rappel : où sont stockés vos fichiers clients, qui y a accès, et que se passerait-il si votre outil était piraté ?

Si votre établissement est une franchise ou travaille sous l'enseigne, demandez directement à votre interlocuteur au siège ce qui concerne vos clientes et ce que vous devez leur dire. Je n'ai pas trouvé d'information publique sur ce point précis.

Quel est le risque de phishing pour vos clientes ?

Les messages à craindre ressemblent à ceci :

• un SMS ou un e-mail « Beauty Success » annonçant des points de fidélité qui expirent ou un cadeau à récupérer ;
• un faux appel « de la banque » ou « du service client » qui cite le prénom et la date de naissance pour mettre en confiance ;
• un message à votre nom (salon, barbier, institut) demandant un paiement, une « vérification » ou un lien de reconnexion.

Le réflexe à donner : on ne clique pas, on ne rappelle pas le numéro du message, on passe par le site ou le numéro habituel. La plateforme Cybermalveillance.gouv.fr recommande aussi de signaler les SMS suspects au 33700 et les e-mails à Signal Spam.

Que faire tout de suite ? (6 gestes, 1 heure environ)

1. Prévenez vos clientes en deux phrases. Un message sur WhatsApp, un post ou une affiche en caisse suffit. Exemple : « Suite à la fuite de données d'une grande enseigne de beauté, méfiez-vous des SMS ou e-mails inattendus. Nous ne vous demanderons jamais vos coordonnées bancaires par message. Pour tout paiement, passez par notre lien habituel. »
2. Dites comment vous les contactez réellement. Le jour où une cliente doit payer un acompte, elle doit savoir d'où vient le message : même numéro, même lien, même nom. C'est la meilleure protection contre le faux message à votre nom.
3. Changez les mots de passe sensibles. Votre messagerie, votre logiciel de rendez-vous, votre compte de paiement, vos réseaux sociaux. Un mot de passe différent pour chacun, et la double authentification partout où elle existe.
4. Faites le ménage dans les accès. Qui a le mot de passe de l'agenda ? Une ancienne employée, une apprentie partie en juillet ? Supprimez les comptes qui ne servent plus et évitez les identifiants partagés.
5. Regardez où sont vos fichiers clients. Carnet papier, tableur sur un ordinateur partagé, photos de fiches dans un téléphone personnel : listez-les. Moins il y a d'endroits, plus c'est simple à protéger.
6. Interrogez votre prestataire. C'est le point faible dans cette affaire : l'accès s'est fait, selon l'exploitant, par un prestataire. Demandez à votre éditeur de logiciel où sont hébergées les données, qui y accède et comment il vous prévient en cas d'incident.

Que dit le RGPD si c'est votre outil qui fuit ?

Cette partie ne concerne pas la fuite Beauty Success elle-même, mais ce que vous devriez faire si un incident touchait vos données clientes. Les règles viennent de la CNIL :

• Toute violation doit être inscrite dans un registre interne, même sans risque pour les personnes. Un simple document daté suffit : ce qui s'est passé, les données touchées, ce que vous avez fait.
• Notification à la CNIL sous 72 h dès que la violation présente un risque pour les droits et libertés des personnes. Les 72 heures courent à partir du moment où vous en avez connaissance. Si vous dépassez, il faut expliquer le retard. Une première notification incomplète est acceptée, vous complétez ensuite.
• Information des personnes « dans les meilleurs délais » si le risque est élevé : nature de l'incident, conséquences probables, contact, mesures prises et recommandations (changer de mot de passe, rester vigilant).
• Votre prestataire doit vous alerter dans les meilleurs délais, mais la décision de notifier et le registre restent de votre responsabilité.

Cas pratique : un barbier dont le tableur de rendez-vous est volé avec l'ordinateur de la boutique. Il y a des noms, des téléphones, des dates. Il note l'incident dans son registre, évalue le risque (le fichier est-il protégé par un mot de passe ?), notifie la CNIL si le risque existe et prévient ses clients si ce risque est élevé. Si vous hésitez, la CNIL conseille de notifier plutôt que d'attendre d'avoir tous les éléments.

En Belgique, le RGPD s'applique de la même façon, avec l'Autorité de protection des données comme interlocuteur. En Suisse, c'est la loi fédérale sur la protection des données qui s'applique : renseignez-vous auprès du Préposé fédéral (PFPDT) pour connaître votre obligation d'annonce.

Comment sécuriser son logiciel de rendez-vous ?

Que vous utilisiez un logiciel en ligne, un tableur ou un carnet, quelques questions simples permettent de se faire une idée :

Question à poser	Pourquoi c'est important
Où sont hébergées les données ?	Savoir qui est responsable en cas d'incident.
Y a-t-il une double authentification ?	Un mot de passe volé ne suffit plus.
Chaque employée a-t-elle son propre accès ?	On retire un accès sans changer tout le monde.
Peut-on exporter ou supprimer les données d'une cliente ?	Utile pour répondre à une demande RGPD.
Que collecte-t-on vraiment ?	Moins de données = moins de risque.

Un conseil de fond : ne collectez que ce dont vous avez besoin. Pour une coupe ou une pose de vernis, nom, téléphone et prestation suffisent. Une date de naissance complète n'est pas nécessaire, et c'est précisément une des données qui rend le phishing crédible.

Si vous cherchez un outil, BoneBook propose des fiches clients et consentements avec des notes privées et des photos visibles uniquement par l'établissement. Ce que je ne peux pas vous dire, c'est que cela vous met à l'abri de tout : aucun outil ne remplace de bons mots de passe et un peu de vigilance. Pour un institut, la page instituts de beauté détaille ce que l'outil fait et ne fait pas.

Autre bonne pratique liée à l'actualité : quand vous demandez un acompte, passez toujours par le même lien officiel, jamais par un lien envoyé au cas par cas. Avec un paiement intégré à la réservation, la cliente retrouve toujours le même parcours, ce qui rend un faux lien plus facile à repérer.

Que faire maintenant : votre plan pour cette semaine

• Aujourd'hui : envoyez le message d'alerte à vos clientes et changez les mots de passe de votre messagerie et de votre agenda, avec double authentification.
• Cette semaine : listez les endroits où vous gardez des données clientes et supprimez les comptes d'anciens employés.
• Ce mois-ci : posez les cinq questions du tableau à votre éditeur de logiciel, créez un petit registre des incidents (un document daté suffit) et vérifiez que vos mentions d'information RGPD sont affichées ou envoyées.

Pour suivre l'affaire, consultez l'avis officiel de l'enseigne et les fiches de Cybermalveillance.gouv.fr. Si les chiffres évoluent, ils seront publiés par l'exploitant ou la CNIL, pas par les forums.