Fuite · · 4 min de lecture
La fuite chez Canadian Tire : 38 millions de comptes, et quoi faire maintenant
Une fuite en octobre 2025 a exposé les comptes en ligne de clients de Canadian Tire, SportChek, L’Équipeur et Party City. Ce qui a été pris, ce qui ne l’a pas été, et les gestes utiles.
Si vous avez déjà magasiné en ligne chez Canadian Tire, SportChek, Mark’s/L’Équipeur ou Party City, les données de votre compte se trouvaient probablement dans la base de données touchée en octobre 2025. Voici ce que l’on sait, selon l’entreprise et selon les personnes qui ont examiné les données.
Ce qui s’est passé
La Société Canadian Tire indique avoir détecté le 2 octobre 2025 une atteinte à une base de données de commerce en ligne, et l’a annoncée le 14 octobre. Cette base contenait les comptes clients des quatre bannières. L’entreprise affirme que l’activité non autorisée se limitait à cette base, qu’elle a corrigé la vulnérabilité et qu’elle a signalé l’incident aux autorités de protection de la vie privée.
En février 2026, le service d’avis de fuites Have I Been Pwned a ajouté le jeu de données : près de 42 millions d’enregistrements, contenant 38,3 millions d’adresses courriel uniques. Au moment de l’ajout, Have I Been Pwned a noté que 86 % de ces adresses figuraient déjà dans sa base à la suite de fuites antérieures.
Ce qu’elle contenait
Selon la FAQ destinée aux clients de Canadian Tire, la base contenait :
- le nom, l’adresse, le courriel et l’année de naissance
- les mots de passe, conservés sous forme protégée (hachée)
- dans certains cas, des numéros de carte de crédit incomplets, comme ceux imprimés sur un reçu de magasin
Pour moins de 150 000 comptes, elle contenait aussi la date de naissance complète. L’analyse de Have I Been Pwned y ajoute les numéros de téléphone et le genre, et précise que les données de carte, quand elles étaient présentes, se limitaient au type de carte, à la date d’expiration et à un numéro masqué.
Ce qu’elle ne contenait pas, selon l’entreprise : les données de la Banque Canadian Tire, celles du programme de fidélité Triangle, les numéros de carte complets ni le code de sécurité au dos des cartes.
Ce que ça signifie pour vous
Les fragments de carte ne permettent pas de faire des achats, et vous n’avez pas à remplacer votre carte. L’entreprise dit la même chose des mots de passe. Un mot de passe haché n’est pas lisible tel quel, mais sa résistance dépend de la force du mot de passe d’origine. Si vous avez réutilisé votre mot de passe Canadian Tire ailleurs, c’est là qu’il faut agir.
Le risque le plus important est plus discret. Un nom, un courriel, un numéro de téléphone et une adresse, réunis, sont exactement ce dont un fraudeur a besoin pour qu’un message semble venir d’un magasin que vous fréquentez vraiment. Nous expliquons comment les données divulguées rendent l’hameçonnage personnel.
Quoi faire
- Changez tout mot de passe réutilisé. Si le mot de passe utilisé chez Canadian Tire, SportChek, L’Équipeur ou Party City sert aussi ailleurs, changez-le d’abord à ces endroits. Un gestionnaire de mots de passe rend les mots de passe uniques faciles.
- Activez une connexion plus sûre là où c’est possible, idéalement une clé d’accès.
- Méfiez-vous des messages « au sujet de la fuite ». Canadian Tire indique que les personnes dont la date de naissance complète figurait au dossier ont été contactées par TransUnion en son nom, par courriel de creditmonitoring@notifications.cyberscout.com ou par la poste, et se sont vu offrir une surveillance du crédit. Si un message vous demande d’appeler un numéro, de vous connecter par un lien ou de payer quoi que ce soit, rendez-vous plutôt vous-même sur le site de l’entreprise.
- Surveillez les colis et remboursements inattendus. Les arnaques liées aux commandes s’appuient facilement sur des données de détaillant.
- Si vous avez reçu un avis, suivez ses instructions. Vous pouvez aussi demander une alerte à la fraude à Equifax et à TransUnion; voyez notre liste de vérification après une fuite.
Vous pouvez vérifier si votre adresse courriel figure dans cette fuite sur Have I Been Pwned.
Sources
- Société Canadian Tire, « Advisory: Canadian Tire Corporation E-Commerce Data Incident » (en anglais), 14 octobre 2025
- Société Canadian Tire, « Customer Information: October 2025 Cyber Incident » (en anglais), en date du 8 novembre 2025
- Have I Been Pwned, « Canadian Tire Data Breach » (en anglais), ajouté le 25 février 2026
- SecurityWeek, « Canadian Tire Data Breach Impacts 38 Million Accounts » (en anglais), 28 février 2026
- CyberInsider, « Canadian Tire data breach impacted over 38 million people » (en anglais)
Les nouveaux articles, par courriel.
Environ une fois par mois. Des notes sur la vie privée en termes simples, rien d’autre. Je ne partage jamais votre adresse.