Fuite de 40 millions d’enregistrements SMTP :
pourquoi les métadonnées valent plus que le contenu.
Une phrase revient partout pour rassurer : le contenu des courriels n’a pas fuité. Elle est exacte, et elle passe à côté de l’essentiel. Savoir que le directeur financier d’une entreprise a échangé douze messages avec un cabinet spécialisé en fusions un mardi soir en dit considérablement plus que la lecture d’un seul de ces messages.
Ce qui s’est passé
L’incident concerne Alinto, société lyonnaise spécialisée dans les solutions de messagerie professionnelle, qui revendique le traitement de cent millions de courriels par jour.
- Fin février 2026, les chercheurs de Cybernews découvrent un cluster Elasticsearch accessible depuis internet sans aucune authentification.
- Il contenait environ quarante millions d’enregistrements de journalisation du protocole d’acheminement des courriels.
- Le problème a été signalé à l’entreprise, qui n’a pas répondu aux chercheurs mais a sécurisé la base dès le lendemain.
- La divulgation publique est intervenue le 9 avril 2026, après correction.
- Aucune donnée n’est restée accessible depuis.
Le mécanisme de l’exposition mérite d’être compris, car il se répète constamment. Une base de ce type sert à conserver les journaux techniques d’un service : chaque courriel acheminé laisse une ligne, utile au diagnostic quand un message n’arrive pas. Ces journaux ne sont pas considérés comme des données sensibles par les équipes qui les manipulent, et se retrouvent souvent sur une infrastructure moins protégée que les systèmes de production. C’est précisément cette sous-estimation qui crée le problème.
Une précision importante a été apportée par la suite, et elle corrige la version qui a le plus circulé. Les premiers comptes rendus attribuaient l’exposition à Cleanmail, le service de relais de sécurité de l’entreprise, dont un serveur était hébergé sur la même machine. Alinto a précisé qu’il s’agissait en réalité des journaux d’une autre passerelle, Serenamail, Cleanmail étant exploité dans un autre centre de données et un autre pays.
Un cluster Elasticsearch est une base de données conçue pour la recherche rapide dans de grands volumes. Elle se configure par défaut sans authentification, ce qui explique la récurrence de ce type d’exposition.
Ce qui a fuité exactement
Le périmètre est précis, et il faut le respecter dans les deux sens : ne pas minimiser, ne pas exagérer.
Chaque enregistrement comportait l’adresse de l’expéditeur, l’adresse du destinataire, des données de localisation et les adresses des serveurs de relais. Sur les quarante millions de lignes, environ quatre millions cinq cent mille adresses électroniques uniques ont pu être isolées, professionnelles comme personnelles.
Le contenu des messages n’était pas présent. Ni les objets, ni le corps du texte, ni les pièces jointes. C’est une différence réelle avec les compromissions de boîtes aux lettres, et elle mérite d’être dite clairement.
Les organisations concernées donnent la mesure du problème : L’Oréal, Renault, Carrefour, DHL, Hermès figurent parmi les entreprises identifiées. S’y ajoutent de nombreux organismes publics français, dont des administrations, des municipalités et des ambassades à travers le monde, pour un total de plus de quatorze mille adresses gouvernementales uniques.
Pourquoi les métadonnées suffisent
Voici le point qui change complètement la gravité perçue de cet incident, et que la formule rassurante sur le contenu occulte entièrement.
Une métadonnée décrit une communication sans en révéler la teneur. Qui a écrit à qui, à quel moment, depuis quel réseau, combien de fois. Ces éléments paraissent techniques et anodins pris isolément. Assemblés à grande échelle, ils dessinent une carte que le contenu ne fournirait pas.
Un exemple rend la différence tangible. Lire un courriel entre deux personnes vous apprend ce qu’elles se sont dit une fois. Connaître l’intégralité de leurs échanges pendant six mois vous apprend qui décide, qui exécute, à qui l’on demande une validation, quand quelqu’un part en congé, et à quel moment une relation professionnelle nouvelle apparaît. La seconde information vaut souvent davantage que la première.
Ce constat n’a rien de nouveau dans le domaine du renseignement, où l’analyse du trafic constitue une discipline établie depuis des décennies. On y sait depuis longtemps que le volume et la direction des communications révèlent une organisation, une préparation ou un changement de rythme, sans qu’il soit nécessaire d’en déchiffrer un seul message. Ce qui change, c’est que ces méthodes deviennent accessibles à quiconque met la main sur un fichier de journaux.
Les chercheurs le formulent sans détour : disposer d’informations sur les adresses qui communiquent entre elles et sur les horaires de ces échanges révèle des données comportementales. Ce constat rejoint celui que nous faisions à propos de l’exposition massive de conversations privées, où la valeur de la fuite tenait moins à chaque échange isolé qu’à l’ensemble reconstitué.
Le graphe des relations
Ce que permet techniquement un volume de cette taille porte un nom : la reconstitution d’un graphe relationnel. Voici ce qu’on en tire.
- L’organigramme réel d’une entreprise, celui des échanges, souvent différent de l’organigramme officiel.
- Les partenaires extérieurs récurrents : cabinets comptables, avocats, fournisseurs, banques, prestataires informatiques.
- Les rythmes de travail : horaires habituels de chacun, jours d’absence, périodes de forte activité.
- Les personnes en position de décision, identifiables par le volume et la direction des échanges qui convergent vers elles.
- Les relations nouvelles, dont l’apparition soudaine signale souvent une opération en cours.
- Les adresses techniques et les serveurs de relais, qui renseignent sur l’infrastructure utilisée.
Les chercheurs soulignent une conséquence directe : les attaquants peuvent recouper les noms figurant dans les adresses avec des fonctions précises au sein des organisations exposées, afin de cibler des personnes disposant d’un accès privilégié à des informations sensibles. On passe ainsi d’une liste d’adresses à une liste de cibles hiérarchisées.
L’exposition d’ambassades ajoute une dimension particulière. Savoir quelles adresses communiquent avec une représentation diplomatique, et à quelle fréquence, relève d’un autre registre que la fraude commerciale.
Les attaques que cela rend possibles
Le passage du renseignement à l’attaque est direct, et il ne demande aucune compétence technique particulière.
Le scénario le plus rentable reste la fraude au virement. Un escroc qui connaît le nom du dirigeant, celui du comptable, le cabinet qui les accompagne et les horaires habituels de leurs échanges rédige un message parfaitement crédible. Il ne se contente pas d’imiter une identité : il imite une relation existante, à un moment plausible, dans le style attendu.
Le second scénario est celui du faux fournisseur. Connaître les prestataires réguliers d’une entreprise permet d’annoncer un changement de coordonnées bancaires au nom de l’un d’eux. La victime ne se méfie pas, puisque ce fournisseur existe et facture réellement.
Un quatrième usage, moins évoqué, concerne la reconnaissance préalable à une intrusion. Connaître les serveurs de relais et les adresses techniques d’une organisation renseigne sur son infrastructure : quel prestataire de messagerie, quelle architecture, quels points d’entrée. Ces éléments ne suffisent pas à attaquer, mais ils font gagner à un attaquant les heures de repérage qui précèdent habituellement toute tentative.
Le troisième mobilise les mêmes ressorts par téléphone. Un interlocuteur qui cite des noms exacts, des relations réelles et des faits vérifiables désarme la vigilance en quelques secondes, mécanisme que nous détaillions dans notre article sur l’arnaque au faux conseiller bancaire. La proportion de messages malveillants circulant déjà rend ce terrain particulièrement favorable, comme le montrent les constats rapportés dans notre article sur la part des courriels malveillants reçus.
Ce que personne ne sait
Trois questions restent sans réponse, et leur absence conditionne l’évaluation du risque réel.
La première est la durée d’exposition. Personne ne sait depuis combien de temps cette base était accessible avant sa découverte. Une journée et dix-huit mois ne produisent pas les mêmes conséquences, et rien ne permet de trancher.
La deuxième est l’identité des visiteurs. Une base Elasticsearch ouverte se trouve par un simple balayage automatisé, et de tels balayages tournent en permanence. Il est très probable que d’autres que les chercheurs l’aient trouvée. Savoir si les données ont été copiées, et par qui, relèverait de journaux d’accès dont l’existence n’est pas publique.
Une conséquence pratique découle de ces deux inconnues : il faut raisonner comme si les données avaient été copiées. En sécurité, l’absence de preuve d’un vol ne vaut pas preuve d’absence de vol, surtout quand les journaux nécessaires pour le démontrer n’existent pas ou ne sont pas publiés. Les organisations concernées ont donc intérêt à considérer leur cartographie relationnelle comme connue de tiers.
La troisième concerne les obligations d’information. Le règlement européen impose de notifier l’autorité de contrôle et, lorsque le risque est élevé, d’informer les personnes concernées. Aucune communication publique n’a précisé si cette procédure a été menée, ni si les entreprises et administrations clientes ont été averties. Les exigences applicables sont détaillées dans notre article sur le rapport de la CNIL et les règles annoncées.
Ce qu’une entreprise doit en retenir
Une TPE ne peut rien contre la mauvaise configuration d’un prestataire. Elle peut en revanche rendre l’exploitation de ces données beaucoup moins rentable.
- Instaurer une règle de double validation pour tout virement au-delà d’un seuil, sans exception et quel que soit l’émetteur de la demande.
- Vérifier tout changement de coordonnées bancaires par téléphone, à un numéro connu à l’avance et jamais à celui figurant dans le message.
- Considérer l’urgence comme un signal d’alerte plutôt que comme une contrainte. Aucun virement légitime ne devient impossible parce qu’on a vérifié une heure.
- Interroger ses prestataires sur leurs pratiques de journalisation : ce qui est conservé, où, pendant combien de temps, et avec quelle protection.
- Limiter la publication d’adresses nominatives sur son site, une adresse générique suffisant pour un premier contact.
- Former les personnes qui manipulent des paiements, ce sont elles qui sont ciblées, pas le système informatique.
Un point mérite d’être ajouté sur les prestataires. Une petite structure ne peut pas auditer l’infrastructure de son fournisseur de messagerie, mais elle peut poser trois questions simples au moment de la souscription ou du renouvellement : où sont hébergées les données, quels journaux sont conservés et pendant combien de temps, et selon quelle procédure l’entreprise serait informée en cas d’incident. Un prestataire sérieux répond sans difficulté ; l’absence de réponse constitue en soi une information.
Le premier point est le plus efficace et le moins coûteux. La fraude au virement repose entièrement sur l’absence de vérification par un second canal. Une règle interne écrite, connue de tous, qui impose un appel de confirmation, neutralise l’essentiel de ces attaques quel que soit le degré de préparation de l’escroc. Cette organisation relève de la même logique de gouvernance que celle décrite dans notre article sur les bonnes pratiques de gestion des données.
Les fournisseurs de messagerie renforcent progressivement leurs dispositifs, comme le montre notre article sur les mesures adoptées face à la multiplication des arnaques. Ces protections ne remplacent jamais une règle interne de validation.
Ce qu’on nous demande le plus souvent.
Le contenu de mes courriels a-t-il fuité ?
Non. Les enregistrements exposés contenaient l’adresse de l’expéditeur, celle du destinataire, des données de localisation et les adresses des serveurs de relais. Ni les objets, ni le corps des messages, ni les pièces jointes n’étaient présents.
Pourquoi est-ce grave si le contenu est préservé ?
Parce que les métadonnées permettent de reconstituer qui communique avec qui, à quelle fréquence et à quels horaires. On en déduit l’organigramme réel, les partenaires récurrents et les personnes en position de décision. Cette carte reste exacte pendant des années.
Quelle est l’ampleur exacte ?
Environ quarante millions d’enregistrements, dont quatre millions cinq cent mille adresses uniques, professionnelles et personnelles. Parmi les organisations identifiées figurent L’Oréal, Renault, Carrefour, DHL et Hermès, ainsi que plus de quatorze mille adresses gouvernementales.
La faille est-elle corrigée ?
Oui, dès le lendemain du signalement, fin février 2026. La divulgation publique n’est intervenue que le 9 avril, après correction. La base n’est plus accessible. La durée d’exposition avant la découverte reste en revanche inconnue.
Quel service était concerné ?
Les premiers comptes rendus évoquaient Cleanmail, dont un serveur était hébergé sur la même machine. L’entreprise a précisé par la suite qu’il s’agissait des journaux d’une autre passerelle, Serenamail, Cleanmail étant exploité dans un autre centre de données et un autre pays.
Comment se protéger concrètement ?
Par une règle de double validation pour tout virement au-delà d’un seuil, et par la vérification téléphonique de tout changement de coordonnées bancaires, à un numéro connu à l’avance. La fraude au virement repose entièrement sur l’absence de contrôle par un second canal.
- Rapport de l’équipe de recherche de Cybernews publié le 9 avril 2026 sur l’exposition d’un cluster Elasticsearch et son contenu.
- Précisions apportées par Alinto à Cybernews sur la passerelle concernée et sur la localisation du service Cleanmail.
- Éléments publics relatifs à l’activité de l’entreprise, à son implantation et au volume de courriels traités quotidiennement.
- Analyses des chercheurs sur la valeur des métadonnées de messagerie et sur les possibilités de ciblage qu’elles ouvrent.
- Règlement européen sur la protection des données, obligations de notification en cas de violation.
- Comptes rendus de la presse spécialisée francophone et internationale publiés entre le 9 et le 20 avril 2026.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Le périmètre exact des données exposées est rapporté sans minimisation ni exagération, et les précisions apportées après la publication initiale sont intégrées. Pour aller plus loin : les avis clients, à propos de l’agence ou nous écrire.
Avez-vous une règle écrite pour valider un virement ?
La fraude au virement repose entièrement sur l’absence de vérification par un second canal. Un appel de confirmation à un numéro connu d’avance neutralise l’essentiel de ces attaques, quel que soit le degré de préparation de l’escroc.