Un accès jamais révoqué
et deux mille codes d’immeuble.
L’histoire de l’ordinateur jeté dans une rivière a occupé toute la couverture médiatique. Elle masque deux choses plus utiles : la différence entre un accès théorique et un vol effectif, et un mécanisme qui se transpose exactement à une entreprise française.
Accès n’est pas vol
C’est la correction de fond, et elle vaut pour la lecture de tous les incidents de ce type.
Le chiffre de 33,7 millions désigne les comptes auxquels un accès était techniquement possible. L’extraction détaillée aurait porté sur environ trois mille d’entre eux. Les deux nombres diffèrent d’un facteur supérieur à dix mille.
Cette distinction n’atténue pas la gravité des faits. Elle évite en revanche de conclure que trente-trois millions de personnes ont vu leurs données diffusées, ce qui ne correspond pas aux éléments connus.
La donnée qui inquiète vraiment
Elle a été peu reprise, parce qu’elle est moins spectaculaire qu’un ordinateur au fond d’une rivière.
Parmi les informations concernées figuraient plus de deux mille codes d’accès à des immeubles, enregistrés par les clients pour permettre la remise des colis en leur absence.
Une adresse électronique se change en dix minutes, un mot de passe aussi. Un code d’immeuble suppose l’accord d’une copropriété et l’intervention d’un prestataire. La gravité d’une fuite ne se mesure pas au nombre d’enregistrements, mais à la difficulté de réparer.
L’accès jamais révoqué
Voilà le point central du dossier, et le seul qui concerne directement une entreprise de trois personnes comme un groupe coté.
Selon les éléments de l’enquête, l’accès aurait été rendu possible par une clé de sécurité physique conservée après la fin du contrat de travail, permettant une connexion à distance aux bases clients.
Aucun logiciel malveillant, aucune faille technique, aucune intrusion sophistiquée. Un accès légitime qui n’a jamais été retiré.
Le coût réel d’un incident
Le chiffre mérite d’être regardé, parce qu’il déplace la question du budget de sécurité.
La compensation annoncée, un bon d’achat d’environ trente-cinq euros par personne concernée, représente un coût total avoisinant le milliard d’euros. À cela s’ajoutent l’enquête, les frais juridiques, l’interruption d’activité et l’effet sur la réputation.
La remise en état technique, elle, est marginale dans cet ensemble. C’est une constante des incidents de sécurité : le coût est presque entièrement ailleurs que dans l’informatique.
La liste à tenir dans votre entreprise
La mesure qui aurait empêché cet incident est gratuite et prend une heure. Elle consiste à savoir qui détient un accès à quoi.
- Recenser tous les accès : administration du site, hébergement, boîtes de messagerie, réseaux sociaux, outils de facturation, espace bancaire.
- Noter pour chacun qui le détient, y compris les prestataires extérieurs et les anciens.
- Révoquer le jour même du départ d’une personne ou de la fin d’une prestation, sans attendre.
- Créer un compte par personne plutôt qu’un compte partagé : un accès collectif ne se révoque pas.
- Activer la double authentification, qui rend un identifiant conservé beaucoup moins exploitable.
- Reprendre la liste une fois par an, en même temps que le registre des traitements.
Le cas le plus fréquent parmi nos clients n’est pas l’ancien salarié : c’est l’ancienne agence web, qui dispose encore d’un accès administrateur plusieurs années après la fin de la collaboration. Ce recensement rejoint celui décrit dans notre article sur le fichier clients, et se complète par la sauvegarde et la sécurité.
Ce qu’on nous demande le plus souvent.
Combien de comptes ont réellement été volés ?
La distinction est essentielle. Environ 33,7 millions de comptes étaient accessibles, mais l’extraction détaillée aurait porté sur environ 3 000 d’entre eux. Un accès théorique et une exfiltration effective ne sont pas la même chose, et confondre les deux fausse la compréhension de l’incident.
Quelle est la donnée la plus préoccupante ?
Pas le nombre de comptes, mais leur contenu : parmi les éléments concernés figuraient plus de deux mille codes d’accès à des immeubles, enregistrés pour permettre les livraisons. Une adresse se change difficilement, un code d’immeuble encore moins.
Comment l’accès a-t-il été possible ?
Selon les éléments de l’enquête, par une clé de sécurité physique conservée après la fin du contrat de travail, permettant une connexion à distance aux bases clients. C’est le point central du dossier, et celui qui se transpose à toutes les entreprises.
L’affaire est-elle jugée ?
Non. Des aveux auraient été recueillis et un ordinateur repêché, mais l’intéressé n’a pas été jugé au moment de la rédaction de cet article. Les faits décrits restent ceux qui lui sont reprochés.
Que prévoit l’entreprise pour ses clients ?
Un bon d’achat d’environ trente-cinq euros par personne concernée, à partir de janvier 2026, pour un coût total avoisinant le milliard d’euros. Ce montant illustre le coût réel d’un incident de ce type, très au-delà de la remise en état technique.
Que doit faire une petite entreprise ?
Tenir la liste de qui détient un accès à quoi, et révoquer immédiatement au départ d’une personne ou à la fin d’une prestation. C’est gratuit, cela prend une heure, et c’est la mesure qui aurait empêché cet incident.
- Communications de l’entreprise concernée sur l’incident, son périmètre et les mesures de compensation annoncées, novembre et décembre 2025.
- Éléments de l’enquête relayés par la presse : nombre de comptes accessibles, nombre de comptes ayant fait l’objet d’une extraction détaillée, nature des données concernées.
- Presse internationale, couverture de la procédure et des déclarations recueillies.
- La personne mise en cause n’est pas nommée dans cet article, et les faits décrits sont ceux qui lui sont reprochés.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Cet article rend compte d’une procédure en cours et emploie le conditionnel pour les faits non jugés. Pour aller plus loin : la sauvegarde et la sécurité, notre politique de confidentialité ou le dépannage de serveur.
Votre ancienne agence a-t-elle encore vos accès ?
C’est le cas le plus fréquent, et le plus facile à corriger. Une heure suffit à recenser qui détient quoi.