Des accès et des données de plusieurs SDIS revendiqués

Une nouvelle séquence qui vise les secours départementaux

ZATAZ rapporte qu'une nouvelle vague de publications a cité, durant le dernier week-end d'août, les SDIS de la Somme, de l'Essonne, du Bas-Rhin, des Bouches-du-Rhône, du Gard, des Vosges et de la Moselle. Les services départementaux d'incendie et de secours assurent l'organisation locale des secours et regroupent sapeurs-pompiers et personnels administratifs ou techniques. Le fait établi ici est l'existence de revendications visant ces organismes, pas la preuve qu'une intrusion a été confirmée dans chacun de leurs systèmes.

Cette séquence s'inscrit, selon ZATAZ, après d'autres publications relatives aux secours français observées en juillet. Il ne faut cependant pas additionner ces affaires comme si elles formaient une seule fuite démontrée. Les auteurs, les dates d'obtention éventuelles, les systèmes visés et le contenu réel des jeux de données ne sont pas les mêmes d'après les éléments rendus publics. Chaque revendication doit donc être examinée séparément.

Essonne et Somme : des accès administrateur seulement revendiqués

Pour l'Essonne et la Somme, FrenchBreaches décrit des publications datées du 29 août qui prétendent diffuser des accès administrateur associés aux domaines sdis91.fr et sdis80.fr. Les informations qui permettraient de les utiliser sont masquées dans les captures. Il n'est donc pas possible de savoir si l'auteur évoque un identifiant, un mot de passe, un cookie de session, un jeton ou un autre moyen d'authentification.

La distinction est essentielle. Un accès administrateur authentique et encore valide pourrait donner des droits importants sur un service, mais la publication visible ne démontre ni sa validité, ni ses privilèges, ni l'application concernée. Elle ne montre pas non plus qu'une base de données a été extraite. Présenter ces deux cas comme une fuite confirmée de données personnelles irait au-delà de ce que les sources permettent d'affirmer.

Vosges et Moselle : des bases de données sont également revendiquées

Les publications relatives aux Vosges et à la Moselle sont différentes : elles affirment diffuser des fichiers et affichent des échantillons. Pour le SDIS des Vosges, FrenchBreaches rapporte une base CSV annoncée à 175 Mo, 4 226 lignes et 3 067 personnes. Les extraits semblent associer des identités, grades, fonctions et services à des données de connexion, telles que des horaires, des types d'appareils ou des informations réseau internes. Tous ces chiffres restent ceux de l'auteur de la revendication.

Pour le SDIS de la Moselle, la publication revendique un fichier JSON de 3,20 Mo, 6 449 lignes et 6 434 personnes. L'échantillon visible comprendrait notamment des identités, des adresses e-mail professionnelles, des identifiants techniques et des métadonnées d'enregistrements. Une capture peut rendre une affirmation plus précise, mais elle ne valide pas l'origine complète des fichiers, leur actualité, le nombre de personnes distinctes ou l'étendue d'une intrusion.

Le risque immédiat : des messages plus crédibles

Des noms, fonctions, services d'affectation et adresses e-mail professionnelles, s'ils étaient authentiques, peuvent rendre un message frauduleux beaucoup plus convaincant. Un escroc peut se faire passer pour un responsable, un collègue ou un prestataire et s'appuyer sur un grade ou un service réel. ZATAZ souligne aussi qu'une accumulation de données sur les secours peut aider à cartographier des personnels, des relations hiérarchiques et des éléments techniques.

Cela ne signifie pas que chaque agent, pompier ou partenaire des SDIS cités doit considérer son compte comme compromis. Les sources lues ne démontrent pas la présence de mots de passe dans les bases décrites, ni l'utilisation effective des données. Le réflexe utile est donc ciblé : ne validez pas une demande urgente reçue par e-mail ou téléphone parce qu'elle mentionne un détail professionnel exact. Vérifiez-la par un canal habituel et indépendant.

Pourquoi la prudence compte aussi pour les particuliers

Les personnes qui ne travaillent pas dans un SDIS peuvent également être contactées au nom des secours. Une arnaque peut prétendre qu'un dossier, une intervention, une collecte ou une demande administrative doit être régularisée. L'actualité d'une cyberattaque rend ce type de prétexte plus plausible, mais elle ne transforme jamais un appel entrant en canal fiable.

Ne communiquez ni code reçu par SMS, ni document d'identité, ni coordonnées bancaires à un interlocuteur qui vous contacte sans sollicitation. Si le motif concerne les secours, recherchez vous-même les coordonnées du service concerné et rappelez-le. Cette précaution est proportionnée aux informations disponibles : elle limite le risque d'une usurpation sans prétendre qu'une fuite de données de particuliers est confirmée.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier indépendamment l'authenticité, l'origine, la fraîcheur ou l'intégrité des accès et fichiers revendiqués. Nous ne pouvons pas confirmer que les SDIS de l'Essonne, de la Somme, des Vosges ou de la Moselle ont subi l'incident décrit, ni que les autres SDIS cités par ZATAZ sont affectés de la même manière.

Nous ne pouvons pas non plus vérifier le vecteur d'intrusion, l'existence d'un accès encore actif, les privilèges associés, le nombre réel de personnes concernées, la présence de mots de passe ou l'usage qui aurait déjà été fait d'éventuelles données. Les organisations visées n'ont pas confirmé publiquement ces éléments dans les sources consultées.

Sources : ZATAZ ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.