Imaginez : vous achetez des croquettes pour votre chat sur le site de Petco, et quelques semaines plus tard, vos nom, adresse, numéro de carte bancaire et peut-être même votre numéro de sécurité sociale se baladent librement sur Internet. Ce scénario cauchemardesque n’est pas une fiction. Le 5 décembre 2025, le géant américain des produits pour animaux a officiellement reconnu une fuite de données touchant des milliers de clients.

Et le pire ? L’origine de la catastrophe est d’une simplicité affligeante : une mauvaise configuration d’une application qui a rendu des fichiers accessibles publiquement. Pas de pirate russe, pas d’attaque sophistiquée… juste une erreur humaine. Bienvenue dans la réalité 2025 de la cybersécurité.

Que s’est-il réellement passé chez Petco ?

Selon le dépôt officiel auprès du procureur général de Californie, Petco a découvert « un paramètre dans l’une de nos applications logicielles qui a involontairement permis à certains fichiers d’être accessibles en ligne ». Traduction : un répertoire ou une base de données a été laissé en accès public, probablement sans authentification.

L’entreprise assure avoir détecté l’anomalie elle-même (et non via un hacker bienveillant ou un journaliste), puis avoir immédiatement corrigé le problème et retiré les fichiers. Mais le mal était fait. La loi californienne oblige à déclarer tout incident touchant plus de 500 résidents, ce qui laisse supposer que l’exposition concerne au minimum plusieurs milliers de personnes à l’échelle nationale.

« Nous avons corrigé les paramètres de l’application après avoir découvert l’erreur et mis en place des mesures de sécurité supplémentaires »

– Communiqué Petco, décembre 2025

Quelles données ont fuité ? Petco reste (trop) discret

C’est là que ça devient gênant. Dans la lettre envoyée aux victimes, Petco refuse de préciser la nature exacte des informations exposées. On sait seulement que l’entreprise propose désormais un service gratuit de surveillance de crédit et de vol d’identité – ce qui, selon la loi californienne, est obligatoire dès qu’un numéro de permis de conduire ou de sécurité sociale est compromis.

Autrement dit : il y a de fortes chances que des données très sensibles aient été exposées. Adresses e-mail, adresses postales, historique d’achats, moyens de paiement… voire pire.

Pourquoi ce type d’erreur est-il si fréquent en 2025 ?

Parce que la complexité des infrastructures explose. Une entreprise comme Petco utilise des dizaines (voire centaines) de services cloud, d’applications SaaS, de bases de données, de buckets S3, de CDN… Chaque outil possède ses propres paramètres de sécurité, souvent mal documentés ou modifiés par des équipes différentes.

Quelques chiffres qui font froid dans le dos :

• 73 % des violations de données en 2024 provenaient d’erreurs de configuration (rapport Verizon DBIR 2025)
• Plus de 19 milliards de données exposées par des buckets publics rien qu’en 2024 (source : Tenable)
• 80 % des entreprises pensent être conformes RGPD… mais seulement 29 % le sont réellement (étude Deloitte 2025)

Les 7 erreurs de configuration les plus courantes (et comment les éviter)

Voici les pièges dans lesquels tombent même les grandes entreprises :

• Buckets S3 publics (Amazon, Wasabi, Backblaze…) laissés en « public read »
• Bases de données MongoDB, Elasticsearch ou PostgreSQL exposées sans mot de passe
• Serveurs Redis ou Memcached accessibles depuis Internet
• Variables d’environnement contenant des clés API publiées sur GitHub
• Répertoires d’administration (/admin, /phpmyadmin) non protégés
• CDN mal configurés qui servent des fichiers privés en cache public
• API tierces applications avec droits excessifs (principe du moindre privilège oublié)

Le coût réel d’une fuite pour une entreprise comme Petco (et la vôtre)

Au-delà de l’amende potentielle (jusqu’à 4 % du CA mondial avec le RGPD si des Européens sont touchés), il y a :

• Perte de confiance clients : -37 % de fidélité en moyenne après une fuite (Ponemon Institute)
• Coût moyen d’une violation en 2025 : 4,88 millions de dollars (IBM Cost of a Data Breach Report)
• Actions collectives (class actions) aux États-Unis, très fréquentes dans l’e-commerce
• Atteinte à la marque : Petco vaut plusieurs milliards… une fuite peut faire chuter le cours de 5 à 15 % en quelques jours

Comment les startups et e-commerçants peuvent se protéger dès aujourd’hui

Voici un plan d’action concret en 10 étapes que vous pouvez mettre en place cette semaine :

1. Cartographiez toutes vos données personnelles : où sont-elles stockées ? Qui y a accès ?
2. Activez l’authentification multifacteur partout (admin, cloud, SaaS)
3. Utilisez un scanner de configuration cloud (Prowler, CloudSploit, ScoutSuite – gratuits)
4. Mettez en place des alertes sur tout changement de politique IAM ou bucket public
5. Adoptez le zero trust : plus rien n’est « de confiance » par défaut
6. Formez vos équipes (développeurs, ops, marketing) à la sécurité
7. Chiffrez tout, même au repos (S3 SSE, base de données TDE)
8. Faites des audits réguliers (au minimum trimestriels)
9. Préparez un plan de crise communication et technique avant qu’il ne soit trop tard
10. Souscrivez une cyberassurance adaptée (oui, même pour une startup)

Et demain ? Vers une cybersécurité par défaut ?

Des outils comme AWS Config, Google Security Command Center ou Microsoft Defender for Cloud commencent à proposer des configurations sécurisées par défaut. Des startups comme Wiz, Orca Security ou P0 permettent de détecter automatiquement ces erreurs en continu.

On voit aussi l’émergence de l’IA appliquée à la sécurité : des modèles qui analysent des milliards d’événements pour repérer une anomalie de configuration en quelques minutes au lieu de mois.

Conclusion : la cybersécurité n’est plus une option

L’affaire Petco nous rappelle une vérité brutale : même une entreprise de plusieurs milliards de dollars peut être mise à genoux par une simple case non cochée dans une interface d’administration.

Si vous gérez une startup, un e-commerce ou une application qui collecte des données clients, posez-vous la question aujourd’hui : « Et si c’était moi demain ? » Parce que statistiquement, ça le sera probablement un jour… à moins que vous agissiez maintenant.

La cybersécurité n’est plus un coût. C’est une assurance vie pour votre entreprise.

PS : Si vous voulez aller plus loin, j’ai préparé un checklist gratuit de 25 points pour sécuriser votre infrastructure cloud en moins de 48h. Dites-moi en commentaire si ça vous intéresse, je vous l’envoie avec plaisir.

MondeTech.fr

See Full Bio