Réussir : 3,3 millions de lignes revendiquées après un piratage

Une revendication publique, pas encore une fuite établie

FrenchBreaches rapporte qu'un acteur se présentant sous le nom de seraphims a publié, le 5 octobre, une revendication attribuée à Réussir. Le site Réussir se présente comme un groupe d'information agricole. Cyberattaque.org a également signalé une revendication visant Réussir.fr. Ces publications permettent de documenter l'existence de l'annonce criminelle, mais elles ne remplacent pas une confirmation de la victime.

Le statut est donc important : il s'agit d'une fuite revendiquée. Le volume annoncé, l'origine des fichiers et leur actualité ne sont pas validés publiquement par Réussir. Présenter les données comme définitivement authentifiées, ou affirmer que tous les contacts seraient touchés, irait au-delà des éléments disponibles.

Trois millions de lignes ne signifient pas trois millions de victimes

Le chiffre annoncé dépasse 3,3 millions de lignes. Selon FrenchBreaches, il correspondrait à plusieurs tables : environ 215 000 comptes dans une table d'utilisateurs, deux tables de coordonnées annoncées à près d'un million de lignes chacune, et une autre table liée à des revues, offres ou abonnements. Une même personne peut apparaître dans plusieurs tables ou à plusieurs moments de son historique.

La source évoque des données couvrant des périodes différentes, certaines remontant jusqu'à l'an 2000. Cela ne permet pas de déterminer combien de personnes sont encore clientes, abonnées ou joignables aujourd'hui. Le chiffre des lignes donne une indication d'ampleur alléguée, mais ne constitue pas un décompte fiable de victimes uniques.

Des comptes et des coordonnées professionnelles annoncés

Pour les comptes utilisateurs, FrenchBreaches décrit notamment des noms, noms d'utilisateur, adresses e-mail, numéros de téléphone, dates de création et de connexion, ainsi que des informations techniques d'authentification. La source parle aussi de mots de passe sous forme hachée. Un mot de passe haché n'est pas présenté comme du texte lisible, mais sa présence alléguée reste un élément qui mérite une attention particulière si l'incident est confirmé.

Les tables de coordonnées annoncées contiendraient aussi des noms, raisons sociales, adresses postales, communes, téléphones, mobiles et e-mails associés à des professionnels et exploitations agricoles. Une table décrite comme liée aux abonnements ajouterait des données d'identité, de contact et des informations sur des revues ou offres. Ces catégories viennent de la revendication rapportée, non d'un avis de la victime.

L'injection SQL annoncée n'est pas confirmée

L'auteur de la revendication affirme avoir obtenu les données en septembre grâce à un contournement d'authentification et une injection SQL. FrenchBreaches précise que cette méthode n'a pas été confirmée indépendamment. Il serait donc imprudent d'en faire le récit établi d'une intrusion ou d'en déduire l'état de sécurité actuel du portail.

Cette distinction compte aussi pour les lecteurs : savoir qu'un pirate décrit une méthode ne prouve pas que cette méthode a fonctionné exactement comme annoncée. Dans une affaire encore non confirmée, les faits publiables sont l'existence de la revendication et les catégories de données qu'elle prétend couvrir, pas les détails techniques invérifiés présentés comme certains.

Le risque immédiat : une usurpation qui connaît votre activité

Si les catégories annoncées sont authentiques, l'association d'un nom, d'une exploitation ou entreprise, d'un numéro et d'une adresse e-mail peut rendre une approche frauduleuse particulièrement crédible. Un escroc peut se faire passer pour le média, un fournisseur agricole, un organisme professionnel ou un service d'abonnement. Il n'est pas nécessaire qu'un mot de passe soit connu pour qu'un faux appel ou un faux e-mail paraisse réaliste.

Le réflexe le plus utile est de ne pas utiliser le lien ni le numéro transmis dans un contact inattendu. Pour une demande urgente concernant un abonnement, une facture ou un compte, retrouvez vous-même le site officiel ou le contact habituel, puis vérifiez la demande par ce canal. Ne communiquez jamais un code de connexion reçu par SMS ou application à un interlocuteur qui vous appelle.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier l'authenticité des bases attribuées à Réussir, la date exacte de leur extraction, l'identité de leur diffuseur, ni le nombre de personnes uniques concernées. Nous ne pouvons pas non plus confirmer publiquement le vecteur d'accès revendiqué, l'existence d'une notification aux personnes concernées ou la présence effective de mots de passe hachés dans les données accessibles au pirate.

Les volumes, noms de tables et catégories de données présentés ici proviennent de l'analyse de FrenchBreaches sur une revendication. Dans les sources consultées, Réussir présente son activité éditoriale mais ne publie pas de confirmation de cet incident. Cette page sera à mettre à jour si l'organisation communique ou si des éléments indépendants permettent de confirmer ou d'infirmer la revendication.

Sources : Cyberattaque.org ↗ · Réussir ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.