Vols de données en cascade
le maillon faible était un prestataire.
Un milliard d’enregistrements clients dérobés : la revendication a fait le tour de la presse et n’a jamais été vérifiée de façon indépendante. La méthode employée, elle, a été confirmée campagne après campagne. Elle vise un angle mort que presque toutes les entreprises partagent, y compris les plus petites.
La méthode, en trois mouvements
Les campagnes successives reposent sur trois voies d’accès distinctes, dont aucune ne suppose de casser une protection technique.
L’appel téléphonique
Un opérateur appelle un salarié en se présentant comme le support informatique, l’oriente vers une page qui reproduit l’écran de connexion habituel, récupère l’identifiant, le mot de passe et le code de validation, puis enregistre son propre appareil pour la double authentification. À partir de là, il entre par la porte, avec les clés.
Le jeton d’une application connectée
Plutôt que d’attaquer la plateforme, les attaquants compromettent un fournisseur dont l’application y est reliée, et récupèrent les jetons d’autorisation. Ces jetons donnent accès aux données de tous les clients ayant activé l’intégration, sans mot de passe et sans alerte.
Le portail laissé ouvert
Troisième voie apparue en mars 2026 : des profils d’accès invité mal configurés dans des portails clients, qui exposent des données sans demander d’authentification. Là encore, la plateforme fonctionne comme prévu, c’est le réglage du client qui ouvre la porte.
Le jeton d’autorisation, angle mort
Chaque fois que vous reliez un outil à un autre en cliquant sur « se connecter avec », vous créez un jeton. Ce jeton permet au premier outil d’accéder au second, sans repasser par le mot de passe ni par la double authentification, et il reste valide tant que personne ne le révoque.
Une petite entreprise en accumule des dizaines en quelques années : un outil de facturation relié à la messagerie, un agenda partagé avec un service de rendez-vous, une extension de navigateur autorisée un jour pour un besoin ponctuel. Personne ne tient la liste, et personne ne les retire.
Un an de chronologie
Premier maillon : Salesloft Drift
Les jetons d’autorisation d’un outil de conversation connecté à la plateforme sont volés. De nombreux acteurs du secteur informatique sont touchés, des tickets de support et les secrets qu’ils contenaient sont exposés.
Extorsion et site de fuite
Le collectif publie un site de divulgation, menace une quarantaine de victimes et revendique jusqu’à un milliard et demi d’enregistrements pour cette seule campagne.
Deuxième maillon : Gainsight
Les jetons d’une autre application intégrée sont compromis. Plus de deux cents instances sont potentiellement concernées. L’éditeur désactive les applications en cause pendant la réponse.
Dissolution annoncée, puis reprise
Après l’arrestation de plusieurs administrateurs, le collectif annonce cesser ses activités puis sa dissolution. Les campagnes reprennent sous la même enseigne quelques semaines plus tard.
Nouvelle vague d’hameçonnage vocal
Des campagnes d’appels frauduleux visent les identifiants et les codes de double authentification, avec accès aux espaces de fichiers d’entreprise.
Troisième voie : les espaces publics mal configurés
Des profils d’accès invité laissés ouverts dans des portails clients permettent d’atteindre des données sans authentification. La configuration du client est en cause, pas la plateforme.
La chaîne continue
D’autres fournisseurs connectés sont compromis à leur tour, avec des victimes confirmées en aval dans le jeu vidéo, la vidéo en ligne, la distribution et l’éducation.
Pourquoi le chiffre importe peu
Un milliard, puis un milliard et demi : ces volumes proviennent des attaquants eux-mêmes, publiés dans le cadre d’une stratégie d’extorsion. Gonfler l’annonce sert directement leur intérêt, puisque la pression exercée sur les victimes dépend de l’ampleur perçue.
Ce qui est vérifiable, ce sont les compromissions confirmées par chaque entreprise concernée, avec des volumes précis et déclarés. Reprendre un chiffre de revendication comme s’il s’agissait d’un constat revient à relayer un argument commercial de criminels.
Ce qui concerne une petite entreprise
Aucune de ces campagnes ne visait un artisan ou un cabinet de trois personnes. Mais la méthode ne demande aucun moyen particulier, et elle se transpose telle quelle.
Le scénario est facile à imaginer : un appel se présentant comme votre hébergeur, un problème urgent sur le site, un lien vers une page qui ressemble à votre interface d’administration, et un code de validation communiqué de bonne foi. Le site est modifié dans la demi-heure.
Deux protections comptent plus que les autres. Une sauvegarde journalière rangée hors du serveur, qui permet de revenir en arrière quoi qu’il arrive. Et une supervision qui détecte l’anomalie avant que ce soit un client qui la signale.
Les mesures qui tiennent
Elles ne demandent ni budget ni compétence particulière, seulement d’être faites une fois puis reprises régulièrement.
- Passer en revue les applications connectées à vos comptes professionnels et retirer celles qui ne servent plus.
- Vérifier les paramètres de partage public des espaces en ligne, en particulier les portails accessibles sans compte.
- Poser une règle explicite : aucun code de validation ne se communique par téléphone, quel que soit l’interlocuteur.
- Rappeler qu’un support informatique légitime ne demande jamais un mot de passe.
- Retirer les autorisations données par un salarié le jour de son départ, pas seulement son compte.
- Limiter les droits demandés par chaque outil au strict nécessaire, plutôt que d’accepter la demande par défaut.
Ce qu’on nous demande le plus souvent.
Salesforce Salesforce a-t-elle été piratée ?
Non, et c’est le point que toutes les analyses confirment, y compris celles des régulateurs financiers américains. Aucune vulnérabilité de la plateforme n’a été exploitée. Les intrusions sont passées par des applications tierces connectées à elle, dont les jetons d’autorisation ont été volés, puis par des comptes clients mal configurés.
Qu’est-ce qu’un jeton d’autorisation, concrètement ?
C’est ce que vous créez sans y penser chaque fois que vous cliquez sur « se connecter avec » pour relier un outil à un autre. Le jeton reste valide tant que personne ne le révoque, souvent des années, et il ne demande ni mot de passe ni double authentification pour être réutilisé. Voler le jeton revient à obtenir un passe permanent.
Combien d’enregistrements ont réellement été volés ?
Les chiffres circulant relèvent de revendications des attaquants, pas de constats indépendants. Un milliard puis un milliard et demi ont été annoncés pour une seule campagne visant plus d’un millier d’organisations. Ce qui est établi, en revanche, ce sont les compromissions confirmées entreprise par entreprise, dont les volumes sont eux vérifiables.
Le groupe a-t-il été démantelé ?
Il a annoncé sa dissolution fin 2025 après l’arrestation de plusieurs administrateurs, puis les campagnes ont repris sous la même enseigne en 2026. Considérer une menace comme éteinte parce qu’un collectif a annoncé sa disparition est une erreur de raisonnement : c’est la méthode qui persiste, pas le nom.
Une TPE française est-elle concernée ?
Pas par cette campagne, qui vise de grandes organisations. Mais la méthode, elle, se transpose intégralement : un appel qui se fait passer pour le support informatique, une page qui imite la connexion habituelle, un code de validation communiqué de bonne foi. Aucune faille technique n’est nécessaire.
Que faire en pratique ?
Passer en revue les applications connectées à vos comptes professionnels et révoquer celles qui ne servent plus, vérifier les paramètres de partage public de vos espaces en ligne, et poser une règle simple dans l’entreprise : aucun code de validation ne se communique par téléphone, quel que soit l’interlocuteur.
- Alertes de sécurité publiées par un régulateur financier américain sur les incidents liés aux intégrations tierces, 2025 et 2026.
- Note de recherche d’un organisme spécialisé dans la sécurité du cloud sur l’exploitation des jetons d’autorisation, juillet 2026.
- Communications de Salesforce de Salesforce sur l’absence de vulnérabilité de ses propres systèmes.
- Fiches de renseignement sur la menace publiées par des sociétés de sécurité, 2026.
- Presse spécialisée française et internationale, couverture des vagues successives et de l’annonce de dissolution du collectif, 2025 et 2026.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Les informations publiées dans cet article sont vérifiées à leur source et datées. Pour aller plus loin : la sauvegarde et la sécurité, l’hébergement web et la maintenance ou le dépannage de serveur.
Combien d’applications ont accès à vos données ?
La revue des autorisations accordées à des outils tiers prend une heure et se fait une fois par an. C’est la mesure la plus rentable de toute la liste.