WooCommerce : quand votre plugin se transforme en voleur de données
Le vol silencieux qui se produit à la caisse
Imaginez un voleur qui n’a pas besoin de forcer une porte ni de briser une vitre. Il s’introduit simplement par une fenêtre restée entrouverte, observe les clients qui saisissent leurs coordonnées bancaires, puis repart avec toutes les données en poche. Aucun signal d’alarme. Aucun désordre visible. Tout paraît normal jusqu’au moment où les chercheurs découvrent ce qui s’est vraiment passé.
C’est exactement ce qui s’est produit sur plus de 40 000 boutiques WooCommerce utilisant une ancienne version du plugin FunnelKit.
Comment l’attaque a fonctionné
Entre la découverte de cette vulnérabilité et sa correction en mai 2026, des attaquants ont pu capturer en temps réel les données de paiement. Ils ont réussi à intercepter les numéros de carte, les codes CVV, les adresses de facturation et toute la suite des informations clients. La plupart des propriétaires n’ont rien vu venir. Les clients encore moins.
Ce qui rend cette faille particulièrement dangereuse, c’est sa invisibilité. Le code malveillant était caché sous la forme d’un script d’analyse classique, le même type de script que l’on retrouve désormais sur presque toutes les boutiques en ligne. L’administration du site paraissait normal. La navigation des clients restait fluide. Mais derrière les coulisses, les données étaient envoyées en direct à des serveurs contrôlés par les attaquants.
Les chiffres de la menace
- Plus de 40 000 boutiques étaient concernées
- Toutes les versions avant 3.15.0.3 étaient vulnérables
- Chaque transaction passée pendant cette période a pu exposer des données clients
Si votre store a accepté des paiements par carte pendant ces mois et que vous n’avez pas mis à jour FunnelKit, il faut considérer que vos clients ont été compromis. Cette Haltung est la seule qui soit vraiment responsable.
Les conséquences légales
Quand une breach de cette taille s’est déjà occurred, le cadre réglementaire ne s’intéresse pas à la source de la faille. Sous GDPR, vous avez l’obligation de informieren les clients concernés. Ce qui bedeutet en pratique :
- Informer les Kunden
- Documenter la timeline et le Umfang
- Potentiellement des sanctions financières
- Gérer la réputation de la marque
- Assumer les coûts des services de surveillance
Au-delà de GDPR, vous pouvez aussi être soumis aux règles CCPA en Californie ou aux lois équ<|eos|>