Capgemini : 722 000 fichiers d'Altran revendiqués, rien de prouvé

Un compte à rebours de six jours, sans la moindre preuve à l'appui

Dans la nuit du 20 août 2026, le nom de Capgemini Engineering est apparu sur la vitrine d'extorsion du groupe Everest, ce type de site où les gangs de rançongiciel exposent publiquement leurs cibles pour les pousser à payer. L'annonce était assortie d'un compte à rebours arrivant à échéance vers le 26 août.

Le groupe revendique 13,08 gigaoctets, soit 722 470 fichiers, présentés comme provenant d'un ancien dépôt interne d'Altran. À l'heure où ces lignes sont écrites, l'entreprise n'a fait aucune déclaration publique et aucun chercheur n'a pu établir de manière indépendante qu'une intrusion avait réellement eu lieu. Il faut garder ce point en tête d'un bout à l'autre de l'affaire : il existe une accusation, pas un fait démontré. Afficher une victime coûte peu, et les groupes criminels gonflent régulièrement leurs prises pour accélérer un paiement.

Des documents qui datent d'avant le rachat par Capgemini

Selon l'analyse des dates des fichiers, l'inventaire couvre une période allant du milieu des années 2000 à 2020. Or Altran, société française d'ingénierie qui comptait 47 000 salariés dont environ 90 % d'ingénieurs et de scientifiques, a été rachetée par Capgemini pour 3,6 milliards d'euros, 5 milliards en incluant la reprise de dette. L'opération a été annoncée en juin 2019 et la marque a ensuite disparu au profit de Capgemini Engineering.

Si la revendication tient, elle porterait donc sur les archives d'une entreprise qui n'existe plus sous ce nom, et non sur les systèmes en production aujourd'hui. Cela ne rend pas l'affaire anodine, cela la déplace. Le problème ne serait pas une porte laissée ouverte cette semaine, mais un vieux serveur de fichiers trimballé de fusion en fusion sans que personne n'ose jamais le vider. C'est un travers extrêmement répandu, et pas seulement dans les grands groupes.

Beaucoup de fichiers, très peu d'octets : ce que ça raconte

L'inventaire décrit 26 grandes archives ZIP contenant 876 archives imbriquées. On y trouverait des CV, des dossiers de consultants, du suivi de facturation, des projets clients, du code source Java, des scripts SQL, des documents de sécurité, des politiques informatiques, des fichiers Power BI et des présentations commerciales. Un ensemble très hétérogène, typique d'un fond d'archives plutôt que d'une base de données ciblée.

Un détail échappe souvent à la lecture rapide. Répartir 13,08 gigaoctets sur 722 470 fichiers donne moins de 20 kilo-octets par fichier en moyenne, calcul fait à partir des chiffres revendiqués. C'est minuscule. On n'est donc pas devant des plans industriels lourds ou des vidéos, mais devant une masse de petits fichiers texte. Un simple dossier de code source décompressé produit à lui seul des dizaines de milliers de fichiers. Le chiffre de 722 000 impressionne, il ne dit rien de la gravité.

Everest revend des accès, et recrute parfois des salariés

Everest est apparu en décembre 2020 et fait tourner aujourd'hui trois activités en parallèle : le rançongiciel, la revente d'accès à des réseaux déjà compromis depuis novembre 2021, et depuis octobre 2023 le recrutement rémunéré d'employés prêts à ouvrir un accès distant chez leur propre employeur, avec paiements et partage des gains annoncés sur des forums criminels. Ses portes d'entrée classiques restent les accès bureau à distance exposés sur Internet sans double authentification, et les passerelles VPN non mises à jour.

Ce fonctionnement explique pourquoi ses annonces se lisent avec distance. Fin 2025, le groupe revendiquait les données de dizaines de millions de clients d'Under Armour, publiées en janvier 2026, sans que l'entreprise reconnaisse quoi que ce soit. Capgemini avait déjà été visée par une revendication en septembre 2024, avec 20 gigaoctets proposés sur un forum, là aussi sans confirmation officielle. Une revendication non démentie n'est pas pour autant une revendication validée.

Pourquoi un CV de 2011 a encore de la valeur pour un escroc

Si vous n'avez jamais eu de lien avec Altran, cette affaire ne vous concerne probablement pas directement. Les personnes réellement exposées sont celles qui ont postulé ou travaillé comme consultant pour cette société entre le milieu des années 2000 et 2020. Un CV n'est pas une donnée bancaire, mais il rassemble votre nom, vos coordonnées, votre parcours et souvent les entreprises chez qui vous êtes intervenu. Recoupé avec un profil professionnel en ligne, il permet de fabriquer un appel ou un courriel remarquablement crédible.

Une plateforme de veille indique par ailleurs que des mots de passe figureraient parmi les données annoncées, sans préciser s'il s'agit de mots de passe en clair ou de simples empreintes chiffrées. Une autre source, elle, ne relève que des noms de fichiers évoquant des identifiants, ce qui ne prouve pas qu'un mot de passe exploitable s'y trouve. C'est le seul élément qui toucherait directement à des identifiants, et il reste invérifiable. Il suffit pourtant à poser la bonne question : le mot de passe que vous utilisiez au bureau en 2015, êtes-vous certain de ne pas le réutiliser aujourd'hui, à une variante près, quelque part ailleurs ?

Ce que nous ne pouvons pas vérifier

Nous n'avons pas consulté la vitrine d'extorsion nous-mêmes. Les chiffres les plus détaillés de cette affaire, les 26 archives ZIP, les 876 archives imbriquées et l'inventaire des types de fichiers, reposent sur une seule publication, celle de Cyberattaque.org. Seuls les 13,08 gigaoctets et les 722 470 fichiers sont corroborés par une source indépendante. Une des plateformes de veille citées plus bas affiche d'ailleurs, sur sa fiche, des métriques d'un tout autre ordre qui ne concernent pas cette revendication.

Les sources se contredisent aussi sur la nature des données : l'une décrit surtout des informations de comptes, l'autre un fond d'archives très hétérogène. L'origine reste inconnue, qu'il s'agisse d'une intrusion récente, d'un achat d'accès ou du recyclage d'une fuite ancienne. Enfin, le mot « rançongiciel » tient ici au profil de l'acteur, pas à un chiffrement démontré : aucune source ne fait état de systèmes bloqués ni de la moindre perturbation chez Capgemini. Et ces comptes à rebours sont régulièrement prolongés, réinitialisés, ou abandonnés sans suite.

Sources : Cyberattaque.org ↗ · GalaxyWarden ↗ · Ransomware.live ↗ · HookPhish ↗ · Picus Security ↗ · The Register ↗ · CyberInsider ↗ · LeMagIT ↗ · Le Monde Informatique ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.