Docurba : une fuite de données est revendiquée

Une revendication, pas une confirmation officielle

Le 25 août 2026, un acteur se présentant sous le nom de 0xSec a publié une revendication de fuite portant sur docurba.beta.gouv.fr. Docurba est un service numérique qui centralise des ressources et le suivi de procédures d’urbanisme pour les territoires. La plateforme indique elle-même permettre de créer un compte pour éditer des procédures ou des Porter à Connaissance.

À cette heure, le fait à retenir est précis : une fuite est revendiquée et des fichiers sont présentés comme provenant de tables utilisateurs. Cela ne vaut pas confirmation de l’intrusion par Docurba, ni par les services de l’État. Aucun communiqué de la victime n’a été trouvé dans les sources consultées. L’article ne doit donc pas être lu comme l’annonce d’un piratage officiellement établi.

Des exports XLSX et un total encore incertain

Selon Cyberattaque.org, trois fichiers Excel diffusés totaliseraient 5 152 lignes : 2 654 dans le premier, 75 dans le deuxième et 2 423 dans le troisième. Le même média estime qu’ils représenteraient près de 2 800 personnes uniques. Ces chiffres sont attribués à la publication et non à une vérification indépendante.

FrenchBreaches ne confirme, à partir des éléments visibles, que les deux premiers fichiers et leurs 2 729 lignes cumulées. La différence est importante : une ligne n’est pas forcément une personne, plusieurs exports peuvent contenir des doublons et le troisième fichier n’est pas documenté de la même manière dans les deux sources. Il serait donc imprudent d’annoncer un nombre définitif de personnes concernées.

Les données annoncées peuvent rendre une arnaque crédible

Les colonnes décrites par les deux sources comporteraient notamment les nom et prénom, l’adresse e-mail, parfois un numéro de téléphone, le poste, la collectivité de rattachement, le département et la région. Des identifiants internes, l’état de vérification du compte, l’indication d’une première connexion et des marqueurs administrateur ou staff figureraient également dans les exports annoncés.

Cette combinaison ne donne pas, à elle seule, accès aux comptes. FrenchBreaches précise qu’aucun élément visible ne permet d’établir la présence de mots de passe, de jetons de session ou d’autres secrets d’authentification. En revanche, elle permettrait à un escroc d’écrire ou d’appeler en connaissant le nom, la fonction et la collectivité de sa cible. Un faux message sur une procédure d’urbanisme, un dossier à compléter ou un accès à réactiver pourrait ainsi paraître beaucoup plus crédible qu’un spam ordinaire.

Aucun point d’entrée établi

La méthode d’accès n’est pas connue. Cyberattaque.org relève que la forme des exports est compatible avec l’outil Metabase, notamment à cause de la présentation de champs reliés et du format XLSX. C’est un indice d’analyse, pas une preuve du mécanisme d’intrusion. Le média indique lui-même qu’il est impossible de déterminer précisément le point d’entrée utilisé.

L’auteur de la publication affirme aussi avoir pu accéder à davantage de données, tout en disant avoir limité son extraction aux tables utilisateurs. Cette phrase est une affirmation du revendicateur. Elle ne permet pas de conclure qu’un autre service public, d’autres données ou l’ensemble de beta.gouv.fr auraient été compromis.

Le réflexe utile : vérifier le canal avant de répondre

Si vous utilisez Docurba ou travaillez avec une collectivité, ne considérez pas comme authentique un courriel ou un appel qui cite votre fonction, votre territoire ou une procédure en cours. Ces informations peuvent être connues d’un interlocuteur malveillant si les données annoncées sont réelles, ou simplement récupérées ailleurs.

Pour toute demande urgente de connexion, de document, de changement de coordonnées ou de code, ne suivez pas le lien reçu et ne rappelez pas le numéro indiqué dans le message. Ouvrez vous-même le site habituel ou contactez votre interlocuteur connu avec les coordonnées déjà enregistrées. Ce réflexe casse le scénario où l’attaquant se fait passer pour le support ou un partenaire professionnel.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier indépendamment l’authenticité complète des fichiers, le nombre de personnes uniques, le contenu et le volume du troisième fichier, la période couverte par les données, ni la présence effective de chaque catégorie annoncée. Nous ne pouvons pas non plus confirmer le mode d’accès, sa durée, l’existence éventuelle d’un accès encore actif ou le périmètre exact d’éventuelles données supplémentaires.

Surtout, aucune confirmation publique de Docurba ou d’une autorité compétente n’a été identifiée lors de la rédaction. Les informations présentées comme issues du forum doivent donc conserver le statut de revendication jusqu’à une communication officielle ou à une vérification indépendante plus complète.

Sources : Cyberattaque.org ↗ · Docurba ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.