TimeTonic : une fuite de données est revendiquée

Une revendication diffusée le 25 août

Le 25 août 2026, Cyberattaque.org a rapporté une publication attribuée à un acteur utilisant le nom de 0xSec sur un forum cybercriminel. Celui-ci affirme avoir extrait trois bases de données depuis plusieurs instances Metabase associées à TimeTonic. Il dit avoir mis à disposition 67 fichiers au format XLSX. La source décrit donc une revendication de fuite et non une communication de la victime.

TimeTonic se présente comme une plateforme française permettant de centraliser des informations, de créer des applications métier collaboratives et d’automatiser des processus. Son propre site mentionne notamment la synchronisation de données, de courriels et de documents. Cette activité aide à comprendre pourquoi une base liée à ce type d’outil pourrait contenir bien plus qu’un simple carnet d’adresses. Elle ne prouve toutefois ni que les environnements de production ont été compromis, ni que tous les fichiers annoncés sont authentiques.

Plus de 50 000 personnes annoncées, sans décompte indépendant

Selon Cyberattaque.org, les fichiers diffusés représenteraient plus de 50 000 personnes. Le média indique que des adresses professionnelles de structures privées et publiques apparaîtraient dans les données, y compris des organisations de l’énergie, de l’assurance, de la santé, du bâtiment, de l’industrie et du secteur public. Il cite aussi des adresses rattachées à de grands groupes, à des hôpitaux, à des administrations et à des collectivités.

Cette présence ne signifie pas que ces organisations ont été piratées. Elles peuvent apparaître parce que leurs salariés, partenaires ou interlocuteurs figuraient dans une base utilisée par TimeTonic. Elle ne permet pas non plus d’affirmer que 50 000 personnes uniques sont concernées : un export peut contenir des doublons, des contacts inactifs ou plusieurs lignes pour une même personne. Le chiffre doit donc rester présenté comme celui de la revendication relayée par la source, sans le transformer en bilan confirmé.

Coordonnées, fonctions et échanges : le risque est l’usurpation crédible

Les catégories de données décrites par Cyberattaque.org sont larges : noms, prénoms, adresses e-mail, numéros de téléphone, adresses postales, fonctions, intitulés de poste, statuts de dossiers et informations sur les organismes représentés. Le média évoque aussi des objets et contenus de courriels, l’identité de leurs auteurs, ainsi que des pièces jointes PDF ou DOCX dans certains ensembles annoncés.

S’il est confirmé, ce mélange est particulièrement utile pour l’hameçonnage ciblé. Un escroc n’aurait pas besoin de deviner le métier de sa cible ou le nom d’un interlocuteur : il pourrait se faire passer pour un partenaire, reprendre l’objet d’un ancien échange et joindre un faux document crédible. Le danger n’est pas seulement le courriel générique. C’est le message qui semble arriver au bon moment, avec le bon vocabulaire et des informations que la personne croyait réservées à son travail.

Metabase est cité, mais la porte d’entrée reste inconnue

La revendication associe les trois bases à plusieurs instances Metabase. Metabase est un outil d’analyse et de visualisation de données, souvent utilisé pour interroger des bases et produire des tableaux de bord. Le fait que ce nom soit cité ne permet pas d’identifier la faille ou l’accès qui aurait été utilisé. La source souligne elle-même qu’il est impossible, à ce stade, d’établir avec certitude le mécanisme technique de la compromission.

Il serait donc faux d’attribuer l’affaire à une vulnérabilité de Metabase, à une configuration précise ou à un compte volé. Nous ne savons pas davantage si l’auteur a eu accès à un environnement actif, à une copie ancienne ou à des fichiers obtenus par un autre moyen. Cette distinction compte : le nom d’un outil dans une revendication n’explique pas, à lui seul, comment une intrusion aurait eu lieu.

Le bon réflexe : ne validez jamais un échange par ses détails

Si vous utilisez TimeTonic, travaillez avec une organisation qui l’utilise, ou recevez un message professionnel inhabituel, ne prenez pas ses détails comme une preuve d’identité. Un nom, une fonction, un numéro de dossier, l’objet d’un ancien courriel ou la mention d’une pièce jointe peuvent rendre une usurpation plus convaincante si les données revendiquées sont réelles. Ils ne rendent pas la demande légitime.

Face à une demande urgente de document, de paiement, de connexion ou de code, n’utilisez ni le lien ni le numéro de téléphone fournis dans le message. Ouvrez vous-même le service habituel ou contactez la personne concernée avec une coordonnée déjà connue. Pour les équipes, un simple contrôle par un second canal avant toute action sensible bloque une grande partie des scénarios où le pirate profite d’un échange professionnel imité.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier indépendamment l’authenticité des 67 fichiers annoncés, leur date, leur provenance exacte, leur intégrité ni le nombre de personnes uniques qui y figureraient. Nous ne pouvons pas confirmer la présence effective de chacune des catégories de données décrites, notamment les contenus de courriels et les pièces jointes. Aucun mécanisme d’intrusion n’est établi par les sources consultées.

Surtout, nous n’avons identifié aucune confirmation publique de TimeTonic au moment de la rédaction. La présence d’adresses d’organisations ou de personnes dans les fichiers annoncés ne prouve pas que leurs propres systèmes ont été compromis. Cette affaire doit donc rester qualifiée de fuite revendiquée jusqu’à ce qu’une communication de l’entreprise, une autorité compétente ou une vérification indépendante apporte des éléments supplémentaires.

Sources : Cyberattaque.org ↗ · TimeTonic ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.