Mes Marchés, plateforme française gratuite d’annonces de marchés, foires, salons et brocantes, a confirmé le 23 septembre 2026 la fuite de données revendiquée la veille sur un forum cybercriminel. Un acteur y propose un fichier présenté comme la base des exposants inscrits sur mesmarches.fr, soit 2 535 comptes selon lui. L’entreprise reconnaît exact ce que l’acteur revendique sur la collecte des données par l’API du site.
Une plateforme qui relie organisateurs et exposants
Lancée en 2023, Mes Marchés permet aux organisateurs de marchés hebdomadaires ou nocturnes, de foires, de salons, de brocantes et de festivals de publier leurs événements. Les exposants, surtout des commerçants non sédentaires, des artisans et des créateurs, y créent un profil et y déposent les justificatifs que demandent les organisateurs pour valider une candidature, comme un extrait Kbis ou une attestation d’assurance.
Les personnes concernées sont ces exposants. Beaucoup exercent en nom propre : leurs coordonnées professionnelles et personnelles se confondent souvent.
Ce que contient le fichier
D’après la liste de champs publiée par l’acteur, le fichier porte sur l’identité et les coordonnées des exposants : nom, adresse e-mail, téléphone, adresse postale et position géographique.
Il contient aussi des informations professionnelles : raison sociale, numéro SIRET et liens vers les extraits Kbis et les attestations d’assurance déposés sur la plateforme.
Enfin, il inclut des données de compte, notamment des empreintes de mots de passe et des codes de vérification.
Un extrait de 1 000 comptes est proposé en accès libre. Le fichier complet est vendu contre des crédits du forum.
Ce que dit Mes Marchés
Les données ont été obtenues en interrogeant l’API du site, ce que l’entreprise confirme. Elle indique n’avoir relevé aucune intrusion sur son serveur. Elle précise qu’aucune donnée bancaire n’était stockée.
L’acteur affirme aussi avoir aspiré les images hébergées par la plateforme. L’entreprise ne s’est pas prononcée sur ce point.
Mes Marchés estime que les données dérobées sont déjà en grande partie accessibles publiquement, par exemple sur Infogreffe ou société.com. C’est le cas de la raison sociale et du numéro SIRET. Ce ne l’est pas des adresses e-mail, des numéros de téléphone ni des empreintes de mots de passe.
L’entreprise indique avoir fermé le site dans la semaine du 21 septembre 2026, comme elle l’avait prévu, et avoir supprimé tous ses fichiers et bases de données. La fermeture met fin à l’usage des comptes sur la plateforme. Elle ne retire pas le fichier déjà mis en circulation.
Les risques pour les exposants
Ce fichier permet à un escroc de contacter un exposant par son nom, en connaissant sa ville et son activité. Il peut alors se faire passer pour un organisateur de marché ou pour la plateforme et réclamer un droit de place, une caution ou l’envoi de justificatifs. Aucune demande de paiement ou de document ne doit être honorée sans vérification auprès de l’organisateur, par un moyen de contact déjà connu.
Les empreintes de mots de passe ne livrent pas directement les mots de passe, mais les plus faibles peuvent être retrouvés. Le site étant fermé, le risque porte sur les autres services : les exposants qui utilisaient le même mot de passe ailleurs ont intérêt à le changer sur ces services.
Données concernées :
- Nom et prénom
- Adresse e-mail
- Numéro de téléphone
- Adresse postale et position géographique
- Raison sociale et numéro SIRET
- Liens vers des extraits Kbis et des attestations d’assurance
- Empreintes de mots de passe et codes de vérification
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise