Déclic Services : une fuite de données est revendiquée

Une revendication diffusée le 22 août

FrenchBreaches rapporte qu’une publication du 22 août 2026, diffusée sur un forum fréquenté par des cybercriminels, désigne Déclic Services comme cible. ZeroBytes affirme avoir obtenu la base de données de l’entreprise et vouloir en proposer le contenu à la vente. Le groupe date lui-même l’attaque du 20 août, mais cette date, comme l’ensemble de son récit, relève de sa propre revendication.

Cyberattaque.org rapporte également avoir constaté une modification du site public de Déclic Services, où un contenu relatif à l’intrusion était affiché. Cela constitue un élément distinct de la simple annonce sur un forum, mais ne permet pas à lui seul de vérifier l’origine, la totalité ou l’actualité d’une base de données. Aucune communication publique de Déclic Services confirmant la fuite n’a été trouvée dans les sources consultées.

6,27 millions de lignes ne font pas 6,27 millions de victimes

Le nombre le plus spectaculaire, 6 271 531, est présenté comme un volume de lignes SQL brutes et non dédupliquées. Une même personne, une facture, un contrat ou une opération peut apparaître dans plusieurs tables ou plusieurs enregistrements. Employer ce chiffre comme un nombre de clients touchés serait donc trompeur.

La publication distingue elle-même plusieurs comptes : 14 947 adresses e-mail uniques, 6 451 IBAN uniques et environ 13 000 utilisateurs potentiellement concernés selon l’auteur. Ces compteurs ne décrivent pas nécessairement les mêmes personnes et ne suffisent pas à établir un total de victimes. Ils donnent seulement une idée du type de données que ZeroBytes affirme détenir.

Des données financières et professionnelles revendiquées

Selon FrenchBreaches, l’échantillon et le récit de ZeroBytes évoquent des identités, coordonnées, adresses postales, e-mails, IBAN ou RIB, BIC, informations de facturation, contrats, documents et données comptables. Le groupe revendique aussi des historiques liés à des paiements URSSAF, ainsi que des informations sur des entreprises, des membres et des sous-traitants.

Les deux sources indiquent aussi que l’auteur affirme détenir des hachages de mots de passe, des informations de configuration, des noms d’hôtes, des points de terminaison et d’éventuelles clés d’accès. Leur nature, leur période de validité et leur périmètre ne sont pas établis. Il ne faut donc pas en déduire que des mots de passe lisibles ou des accès encore actifs ont été exposés.

Deux récits d’intrusion qui ne concordent pas encore

ZeroBytes décrit une chaîne passant par un site WordPress, un ERP accessible depuis Internet, la base de production puis des ressources cloud. FrenchBreaches précise que ce scénario technique vient des attaquants et ne peut pas être confirmé indépendamment à partir de leur publication.

Cyberattaque.org rapporte de son côté l’existence d’une chronologie attribuant le début de l’intrusion à des identifiants administrateur compromis après un hameçonnage. Les deux versions ne permettent pas d’identifier avec certitude le point d’entrée. Cette contradiction est importante : ni une vulnérabilité ERP, ni un compte administrateur compromis ne doivent être présentés comme des faits établis à ce stade.

Pourquoi un faux conseiller peut devenir plus crédible

Si les données revendiquées sont authentiques, le risque le plus concret est celui d’une fraude ciblée. Un fraudeur qui connaît un nom, une adresse, une prestation ou une facture peut se faire passer de façon crédible pour un intervenant, un service de facturation ou un organisme lié à la coopérative. La présence possible d’IBAN peut aussi servir à rendre plausible une demande de changement de coordonnées bancaires.

Ne répondez pas à un SMS ou à un appel qui vous demande un code reçu par message, un RIB ou une action urgente en évoquant Déclic Services. Raccrochez, puis rappelez l’organisme ou votre interlocuteur habituel à partir d’un numéro déjà connu. Vérifiez également toute demande de modification bancaire directement avec le fournisseur concerné par un canal distinct.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas confirmer que la base revendiquée provient des systèmes de Déclic Services, que les données sont actuelles, ni que les volumes annoncés correspondent à des personnes distinctes. Nous ne pouvons pas non plus vérifier l’intégralité de l’échantillon, le contenu des centaines de tables supplémentaires évoquées, ou l’existence d’identifiants et de clés encore valides.

Nous ne pouvons pas établir le mode d’accès initial, la date exacte de l’intrusion, le périmètre d’une éventuelle exfiltration ou le nombre réel de clients, intervenants et entreprises concernés. Enfin, les sources consultées ne contiennent pas de confirmation publique de Déclic Services, de la CNIL ou d’une autre autorité. Toute mise à jour officielle devra distinguer ce qui est confirmé de ce qui reste revendiqué.

Sources : Cyberattaque.org ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.