SafePal met en garde contre de faux courriers usurpant son identité

SafePal affirme n'envoyer aucune lettre à ses clients

Sur sa page « Scam Protection » (protection contre les arnaques), non datée, SafePal indique que des clients ont reçu des lettres physiques usurpant son identité et dit traiter la question « seriously » (sérieusement, traduit de l'anglais). SafePal y affirme ne jamais adresser de courrier postal à ses utilisateurs, en aucune circonstance.

Selon la même page, SafePal ne réclame jamais la phrase de récupération de 12 ou 24 mots, le code PIN ni les clés privées d'un portefeuille. Les lettres frauduleuses décrites par SafePal avancent de faux motifs : une « critical security vulnerability in device firmware » (faille de sécurité critique dans le micrologiciel de l'appareil) ou un « free device replacement or refund » (remplacement ou remboursement gratuit de l'appareil).

D'après SafePal, ces courriers visent à faire scanner un QR code ou ouvrir une adresse d'hameçonnage, puis à obtenir la saisie de la phrase de récupération de 24 mots. La page de SafePal évoque aussi l'envoi par des fraudeurs de faux appareils, non commandés, destinés à obtenir des fonds ou cette phrase.

Le communiqué du 16 août décrit un accès non autorisé aux commandes

Dans un communiqué publié le 16 août 2026, SafePal fait état d'un accès externe non autorisé aux informations de commande d'environ 39 798 clients. Les données consultées comprennent le nom, l'adresse e-mail, l'adresse de livraison, le numéro de téléphone et le détail des achats. Le communiqué ne précise pas la répartition géographique des clients concernés.

SafePal attribue l'incident à une faille d'autorisation dans la fonction de suivi de commande d'un plug-in (module d'extension du site marchand) : dans certaines conditions, cette faille donnait accès aux informations de commande d'un autre client. SafePal dit l'avoir corrigée dès sa découverte.

Selon le même communiqué, l'incident n'a touché ni les phrases de récupération, ni les clés privées, ni les mots de passe de portefeuille, ni les données bancaires, numéros de carte ou numéros d'identité officiels. SafePal dit n'avoir trouvé aucun élément montrant un accès compromis aux portefeuilles ou aux fonds.

SafePal indique avoir prévenu chaque client concerné par un e-mail individuel envoyé le jour même depuis l'adresse security@safepal.com. Sur sa page « Scam Protection », SafePal précise avoir reçu début mai un premier signalement correspondant au problème, d'abord traité comme un cas isolé, puis escaladé en enquête de sécurité formelle.

Les chiffres publiés par SafePal dans son communiqué du 16 août 2026 et sur sa page « Scam Protection » non datée :

Donnée	Valeur	Date	Source
Clients concernés par l'accès non autorisé	environ 39 798	16 août 2026	Communiqué SafePal
Période des commandes concernées	du 2 mars 2025 au 11 avril 2026	16 août 2026	Communiqué SafePal
Sites frauduleux et liens d'hameçonnage supprimés	plus de 30	16 août 2026	Communiqué SafePal
Nouvelle durée de conservation des données de commande	90 jours	16 août 2026	Communiqué SafePal
Phrase de récupération jamais demandée	12 ou 24 mots	page non datée	Page Scam Protection

SafePal annonce un audit Cure53 sans vulnérabilité détectée

Dans une mise à jour du 18 août 2026, SafePal dit avoir connaissance d'individus qui affirment détenir le jeu de données des clients concernés et le proposer à la vente. SafePal précise ne pas pouvoir vérifier l'authenticité de ces affirmations.

Selon la mise à jour du 30 octobre 2026, l'audit indépendant confié à la société Cure53 sur le système de commerce en ligne de SafePal est terminé et « found no security vulnerabilities » (n'a trouvé aucune vulnérabilité de sécurité, traduit de l'anglais). Plusieurs fournisseurs anti-hameçonnage, dont Phishfort, ont été intégrés pour repérer les domaines et attaques d'usurpation.

Parmi les mesures listées dans le communiqué initial, SafePal cite la suppression de sites frauduleux et de liens d'hameçonnage liés à ces arnaques, ainsi que le raccourcissement de la durée de conservation des données personnelles de commande, sous réserve des obligations légales applicables. SafePal indique que les prochaines avancées seront publiées sur son blog officiel, sans annoncer de date.

Questions fréquentes

SafePal envoie-t-elle des courriers postaux à ses clients ?

Non. Sur sa page « Scam Protection », non datée, SafePal indique qu'elle n'enverra jamais de lettres physiques à ses utilisateurs, en aucune circonstance. La même page précise que des clients ont reçu des lettres usurpant son identité et que l'entreprise traite la question sérieusement (traduit de l'anglais). Selon SafePal, ces courriers invoquent de faux motifs, comme une « critical security vulnerability in device firmware » ou un « free device replacement or refund ». Ils cherchent à faire scanner un QR code ou ouvrir une adresse d'hameçonnage, puis à obtenir la saisie de la phrase de récupération de 24 mots.

Que demandent les faux courriers SafePal et sur quels prétextes reposent-ils ?

Selon la page « Scam Protection » de SafePal, non datée, les lettres frauduleuses avancent de faux motifs : une faille de sécurité critique dans le micrologiciel de l'appareil, ou un remplacement ou remboursement gratuit de l'appareil (« critical security vulnerability in device firmware », « free device replacement or refund »). Elles visent à faire scanner un QR code ou ouvrir une adresse d'hameçonnage, puis à obtenir la saisie de la phrase de récupération de 24 mots. SafePal ajoute que des fraudeurs peuvent aussi envoyer de faux appareils non commandés, afin d'obtenir des fonds ou la phrase de récupération.

Combien de clients SafePal ont été touchés par l'accès non autorisé aux données de commande ?

Selon le communiqué de SafePal du 16 août 2026, l'accès externe non autorisé concerne environ 39 798 clients, ayant passé commande entre le 2 mars 2025 et le 11 avril 2026. Les données consultées comprennent le nom, l'adresse e-mail, l'adresse de livraison, le numéro de téléphone et le détail des achats. SafePal attribue l'incident à une faille d'autorisation dans la fonction de suivi de commande d'un plug-in. Selon le communiqué, l'incident n'a pas touché les phrases de récupération, les clés privées, les mots de passe de portefeuille, les données bancaires, les numéros de carte ni les numéros d'identité officiels.

L'audit de Cure53 sur le système de commande de SafePal a-t-il trouvé des failles ?

Non. Selon la mise à jour du 30 octobre 2026 publiée par SafePal, l'audit indépendant confié à la société de sécurité Cure53 est terminé et n'a trouvé aucune vulnérabilité de sécurité. SafePal l'avait engagée pour valider sa correction et réaliser une revue plus large de ses systèmes de traitement des commandes. L'entreprise ajoute poursuivre la surveillance de ces systèmes. Plusieurs fournisseurs anti-hameçonnage, dont Phishfort, ont par ailleurs été intégrés pour détecter les domaines et attaques d'usurpation.