SNU : plus de 275 000 comptes revendiqués dans une cyberattaque

Une revendication qui vise un portail du SNU

Le 7 septembre, Cyberattaque.org a publié une enquête consacrée à une revendication attribuée à LunarisSec. La personne à l'origine de cette annonce affirme avoir compromis l'un des portails du Service national universel et récupéré les données associées à 275 083 comptes. Le média indique avoir obtenu des échantillons diffusés par le pirate et avoir effectué des recoupements avec des informations publiques.

Ces éléments rendent la revendication crédible selon Cyberattaque.org, mais ils ne constituent pas une confirmation de l'administration. Il faut distinguer ce que le pirate affirme, ce que le média dit avoir observé dans les échantillons, et ce que le SNU a officiellement reconnu. À l'heure où nous écrivons, nous n'avons trouvé aucun communiqué du SNU confirmant cette nouvelle intrusion.

Le chiffre avancé et les personnes potentiellement concernées

Le total revendiqué se décompose, selon la source, en 270 021 comptes d'utilisateurs et 5 062 comptes rattachés à des responsables ou à la gestion de structures. Le SNU indique sur son site que des structures publiques, associatives et d'intérêt général peuvent proposer des missions aux volontaires sur sa plateforme. Cette organisation explique la présence possible de profils très différents dans les données évoquées.

Pour les comptes d'utilisateurs, LunarisSec affirme avoir récupéré les noms, prénoms, adresses e-mail et numéros de téléphone mobile. Cyberattaque.org écrit avoir vu un premier échantillon de 93 enregistrements, associés notamment à des structures publiques ou associatives. Ce constat porte sur cet échantillon, pas sur la totalité des 275 083 comptes annoncés.

Des données plus détaillées pour les responsables

Les données attribuées aux 5 062 comptes de responsables seraient plus riches. La liste rapportée comprend des noms, coordonnées, rôle, statut, région, département, cohortes associées, identifiants de structure, dates de création, de modification ou de dernière activité, ainsi que des identifiants techniques internes. Cyberattaque.org relève que certains éléments correspondent au fonctionnement d'une plateforme de gestion de missions et de structures.

La présence de ces champs ne signifie pas qu'ils ont tous été publiés, ni que chaque compte serait exploitable de la même façon. En revanche, un ensemble réunissant nom, téléphone, e-mail et fonction peut faciliter une usurpation crédible. Un fraudeur pourrait par exemple se faire passer pour le SNU ou pour une structure partenaire en connaissant déjà le nom et le rôle de son interlocuteur.

La faille IDOR est alléguée, pas confirmée

LunarisSec attribue l'accès à une vulnérabilité dite IDOR, associée à des contrôles de rôles et de permissions insuffisants. Une IDOR survient lorsqu'une application transmet ou accepte un identifiant sans vérifier correctement que la personne connectée est autorisée à consulter la ressource correspondante. Modifier un identifiant peut alors donner accès à une fiche qui ne devrait pas être visible.

C'est une explication avancée par l'auteur de la revendication. Elle n'a pas été confirmée par le SNU dans les sources que nous avons pu consulter. Cyberattaque.org rapporte que les échantillons et les recoupements soutiennent la crédibilité de l'ensemble, mais cela ne permet pas d'établir publiquement le chemin technique exact de l'intrusion.

Une précédente fuite avait été reconnue en 2023

Le SNU avait déjà connu une fuite importante à la fin de 2023. Selon Cyberattaque.org, l'administration avait alors confirmé l'exploitation d'une faille applicative et indiqué qu'environ 150 000 jeunes volontaires et représentants légaux étaient concernés. Les catégories de données décrites à l'époque, notamment identité et coordonnées, ne sont pas les mêmes que celles aujourd'hui attribuées aux comptes d'utilisateurs et de responsables.

Cette précédente affaire ne prouve pas la nouvelle revendication. Elle rappelle toutefois pourquoi il est essentiel d'attendre une communication précise de l'organisme concerné avant de tirer des conclusions sur les personnes touchées, les données réellement sorties et les mesures correctrices engagées.

Ce que vous pouvez faire sans attendre

Si vous avez utilisé le SNU, travaillé dans une structure d'accueil ou reçu des échanges liés à une mission, soyez particulièrement attentif aux messages et appels qui prétendent venir du dispositif. Un e-mail ou un SMS peut sembler plausible lorsqu'il contient votre nom ou évoque une structure réelle. Ne cliquez pas sur un lien reçu à l'improviste et ne communiquez jamais un code reçu par SMS ou par application à un interlocuteur.

Pour vérifier une demande, ouvrez vous-même le site officiel du SNU ou utilisez vos coordonnées habituelles, au lieu de rappeler le numéro ou de suivre le lien transmis. Le risque principal décrit ici tient aux coordonnées revendiquées, pas à la divulgation de mots de passe : rien dans les éléments publiés par Cyberattaque.org ne permet d'affirmer que des mots de passe ont fuité.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier de manière indépendante que 275 083 comptes ont été extraits, que tous les champs cités sont présents pour chacun d'eux, ni que l'accès a été obtenu au moyen d'une faille IDOR. Ces informations sont attribuées à LunarisSec et rapportées par Cyberattaque.org à partir d'échantillons et de recoupements.

Nous ne pouvons pas non plus établir, à partir des sources lues, si le SNU a été informé, si une enquête est ouverte, si la vulnérabilité alléguée est corrigée ou si des personnes ont été avisées. Toute confirmation ou démenti officiel modifierait nécessairement l'appréciation de cette affaire.

Sources : Cyberattaque.org ↗ · Service national universel ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.