Inditex subit une attaque informatique avec accès aux bases de données internes
Inditex a signalé mercredi soir avoir subi un accès non autorisé aux bases de données de l'entreprise, hébergées sur les serveurs d'un fournisseur tiers.
Le groupe textile galicien affirme que ces bases de données « contiennent des informations sur la relation commerciale avec des clients de différents marchés, mais en aucun cas des données telles que nom et prénom, numéro de téléphone, adresse, mots de passe, cartes bancaires ou autres moyens de paiement », excluant donc, en principe, que les données personnelles des clients aient été affectées.
La société propriétaire de Zara explique avoir transféré l'incident aux « autorités compétentes », après avoir appliqué « immédiatement » ses protocoles de sécurité. La faille de sécurité, ajoute-t-il, « a son origine dans un incident subi par un ancien fournisseur de technologie et qui a touché diverses entreprises ayant une activité internationale ». « Les opérations et les systèmes d'Inditex n'ont été affectés d'aucune façon et les clients peuvent continuer à y accéder et à fonctionner en toute sécurité », a déclaré la société dans un communiqué partagé avec les médias.
Comme c'est l'habitude dans ce type de multinationales, Inditex identifie la cybersécurité comme l'un des éléments de sa cartographie des risques. « Compte tenu du haut degré de numérisation et d'intégration technologique du modèle économique, l'éventuelle matérialisation d'incidents de nature technologique – dérivés, entre autres facteurs, de pannes d'infrastructures, d'incidents de cybersécurité, d'erreurs d'application ou de difficultés d'interaction avec des tiers technologiques – pourrait avoir un impact transversal sur l'activité du groupe, affectant le développement normal des processus opérationnels et commerciaux », indique-t-il dans son dernier rapport annuel. Quelque chose qui, comme l'explique l'entreprise, ne s'est pas produit.
Inditex dispose d'un comité de sécurité de l'information, dédié à « l'atténuation des risques technologiques et de cybersécurité », ainsi qu'à la « protection des informations critiques du groupe », et qui comprend, entre autres hauts dirigeants, le PDG, Óscar García Maceiras.
De plus, en 2023, elle a formé un comité consultatif sur la cybersécurité, qui sert d’organe consultatif auprès du conseil d’administration sur les questions de sécurité de l’information. Cette instance s'est par exemple réunie cinq fois en 2025, au cours de laquelle « les risques du contexte géopolitique, l'impact de l'intelligence artificielle, les menaces les plus courantes et les nouvelles techniques d'intrusion ont été examinés, soulignant la nécessité de renforcer la formation et la sensibilisation interne », comme le décrit le rapport annuel du groupe.
Elle explique les différentes équipes dont elle dispose en la matière : une spécialisée dans le cyber-renseignement ; ou encore un centre d’opérations de sécurité fonctionnant 24 heures sur 24, « chargé de la détection, de l’analyse, de la notification et de la résolution des événements de sécurité potentiels pouvant affecter l’entreprise ». Au cours de l’année 2025, elle a identifié 66 événements d’intérêt qui ont été signalés au comité de sécurité, sans impact notable.
Ce n'est pas le premier cas d'une entreprise espagnole de vente au détail qui subit une attaque informatique avec accès à des bases de données.
En octobre, Mango a signalé avoir subi un accès non autorisé à certaines données personnelles de clients via un service marketing externe. Les cybercriminels ont pu obtenir des données personnelles utilisées dans des campagnes marketing ; noms sans prénom, pays d'origine, codes postaux, numéros de téléphone et adresses e-mail.
Une autre grande entreprise du secteur, El Corte Inglés, a subi en mars de l'année dernière une attaque informatique qui a permis aux cybercriminels d'accéder aux données personnelles des clients du groupe de distribution, également hébergées par un fournisseur externe.
