Pluxee Belgique victime d'une intrusion : des données clients menacées

Vous utilisez une carte Pluxee pour payer vos courses, vos repas ou profiter de vos écochèques ? Mauvaise nouvelle : l'entreprise belge, anciennement connue sous le nom de Sodexo, vient de confirmer un incident de cybersécurité. Une activité malveillante a été détectée le lundi 2 novembre 2026 sur l'un de ses serveurs, et certaines données personnelles de ses utilisateurs pourraient avoir été consultées par des personnes non autorisées.

Dans un courriel adressé à ses clients ce mercredi 4 novembre, Pluxee indique avoir immédiatement sécurisé les systèmes concernés. Mais l'entreprise reconnaît qu'un nombre encore indéterminé de comptes pourrait avoir été exposé. De quoi susciter quelques inquiétudes chez les nombreux Belges qui utilisent quotidiennement leurs chèques-repas.

Des noms, adresses e-mail et numéros de téléphone potentiellement exposés

Tout commence le lundi 2 novembre, lorsque les équipes de Pluxee détectent une activité suspecte sur l'un de leurs serveurs. L'entreprise affirme avoir rapidement réagi pour stopper l'incident et sécuriser les systèmes concernés.

Malgré cette intervention, elle ne peut exclure que des personnes non autorisées aient eu accès à certaines informations liées aux comptes de ses utilisateurs. Les données potentiellement concernées comprennent notamment les noms, les adresses e-mail et les numéros de téléphone.

Il ne s'agit donc pas, à ce stade, d'une fuite massive de données officiellement confirmée. Pluxee évoque un accès possible à un nombre limité d'informations, sans préciser combien de personnes seraient concernées ni si les pirates ont effectivement copié ces renseignements.

Le nombre de clients potentiellement touchés reste inconnu, tout comme la méthode utilisée pour pénétrer dans le serveur. L'entreprise a immédiatement ouvert une enquête approfondie afin de déterminer les circonstances exactes de l'intrusion.

Les cartes Pluxee fonctionnent toujours normalement

C'est évidemment la question que risquent de se poser les utilisateurs : faut-il bloquer sa carte ou s'inquiéter pour le solde de ses chèques-repas ?

Sur ce point, Pluxee se veut rassurant. Dans son message, l'entreprise affirme n'avoir constaté aucun problème affectant l'intégrité de son système de paiement. Aucune transaction suspecte liée à l'incident n'a non plus été identifiée.

Les utilisateurs peuvent donc continuer à se servir normalement de leur Pluxee Card, que ce soit pour régler leurs courses alimentaires, utiliser leurs écochèques ou profiter des autres avantages associés à leur compte.

Le courriel ne fait pas état d'une compromission des codes PIN ou des mots de passe. Il ne demande pas davantage aux clients de remplacer leur carte ou de modifier leurs identifiants par précaution.

Attention toutefois : l'absence de transactions frauduleuses constatées ne signifie pas nécessairement que l'enquête est terminée. Il reste donc conseillé de surveiller ses opérations habituelles et de signaler immédiatement toute anomalie.

Le principal danger pourrait venir des faux messages

Si les cartes semblent épargnées, les informations personnelles potentiellement exposées pourraient intéresser les escrocs. Et c'est probablement là que les utilisateurs doivent être les plus vigilants.

Imaginez recevoir un SMS vous annonçant que votre carte Pluxee va être bloquée à la suite de la cyberattaque. Le message mentionne votre nom, paraît parfaitement crédible et vous invite à cliquer sur un lien pour vérifier votre identité. De quoi facilement piéger une personne qui vient justement d'apprendre l'existence d'un incident de sécurité.

C'est le principe du phishing, ou hameçonnage : utiliser de fausses communications pour récupérer des identifiants, des codes confidentiels ou des informations bancaires.

Avec un nom, une adresse e-mail et un numéro de téléphone, des personnes malveillantes pourraient personnaliser leurs tentatives de fraude et les rendre nettement plus convaincantes.

Pluxee rappelle donc qu'elle ne demande jamais à ses utilisateurs de communiquer leur code PIN ou leur mot de passe par e-mail, SMS ou téléphone.

En cas de message suspect, mieux vaut éviter de cliquer sur les liens et ne jamais ouvrir les pièces jointes inattendues. Pour vérifier son solde ou contacter l'assistance, le plus sûr reste d'ouvrir directement le site officiel de Pluxee Belgique ou son application habituelle.

Les messages frauduleux peuvent également être transférés à suspect@safeonweb.be, l'adresse mise à disposition par le Centre pour la Cybersécurité Belgique. Le service Safeonweb analyse ces signalements pour identifier et faire bloquer les liens malveillants.

Une enquête encore en cours chez Pluxee

Pour le moment, plusieurs questions restent sans réponse. Combien de comptes ont été potentiellement exposés ? Les pirates ont-ils réellement récupéré des informations personnelles ? Et surtout, comment ont-ils réussi à accéder à l'un des serveurs de l'entreprise ?

Dans sa communication du 4 novembre, Pluxee Belgique confirme poursuivre ses investigations. Le groupe n'a pas précisé l'identité des auteurs de l'intrusion, leurs motivations ni la technique employée. Rien ne permet non plus d'affirmer que ses services dans d'autres pays ont été concernés.

L'incident a également été rapporté par plusieurs médias belges, notamment 7sur7 et L'Avenir, qui reprennent les informations communiquées directement aux utilisateurs.

En attendant les résultats de l'enquête, les clients peuvent donc continuer à utiliser leur carte normalement, mais doivent rester particulièrement attentifs aux messages et appels inattendus.

Car si les pirates n'ont visiblement pas réussi à perturber les paiements, ils pourraient avoir récupéré de quoi tenter de tromper certains utilisateurs par la suite. Et dans ce genre de situation, un faux SMS bien présenté peut parfois coûter beaucoup plus cher qu'un panier de courses.