En quelques heures, plusieurs pirates ont publié 240 bases attribuées à des organisations françaises, révélant une opération coordonnée dont les motivations restent encore difficiles à établir.Cette diffusion découverte et analysée par le Service de veille et d’investigation de zataz rassemble des données dérobées depuis 2022 à 240 entreprises, associations et fédérations françaises. Une grande partie des incidents était déjà connue, notamment ceux ayant touché plusieurs organisations sportives. D’autres fichiers semblent provenir de compromissions restées plus discrètes. Leur contenu comprend de nombreux doublons apparents, souvent liés à plusieurs attaques distinctes contre une même structure. L’ensemble pourrait avoir été constitué par des courtiers en données criminelles, sans qu’aucun élément disponible ne permette encore de confirmer cette hypothèse. Cependant, l’envie de nuire est clairement affichée !
Une publication massive aux contours inhabituels
Le volume attire immédiatement l’attention. Le Service de veille et d’investigation de ZATAZ (Il permet de vérifier si vos données figurent dans des fuites accessibles sur le web ou le dark web.) Plusieurs pirates (peut-être le même sous différents pseudonymes) viennent de rendre accessibles 240 bases de données présentées comme issues d’autant d’organisations françaises. Selon nos analyses, les fichiers couvriraient des incidents survenus depuis 2022, avec des périodes, des formats et des niveaux de sensibilité différents.
Environ 90 % des fuites seraient déjà connues. Parmi elles figurent les compromissions ayant concerné une quinzaine de fédérations sportives françaises, notamment dans le tennis, l’équitation ou l’escrime. Ces attaques avaient déjà circulé dans les communautés spécialisées ou sur des espaces de vente clandestins.
D’autres ensembles paraissent moins documentés. Des noms comme Gustave Auto, Winamax ou McDonald’s apparaissent dans certaines archives évoquées par les diffuseurs. Quelques fichiers avaient auparavant été repérés dans des lookup désormais fermés aujourd’hui. Cette faible visibilité ne signifie pas nécessairement que les incidents étaient inconnus des victimes. Elle indique surtout que leur circulation publique était restée limitée.Le SVI de ZATAZ a repéré 9 pseudonymes différents, plus ou moins cachés dans les fichiers.
L’analyse superficielle des dossiers laisse aussi apparaître de nombreux doublons. Cette répétition pourrait donner l’impression d’un gonflement artificiel du volume. Un examen plus attentif montre que certains dossiers continennent deux, voir trois fois le même fichier. L’examen montre aussi que certaines entreprises ont subi plusieurs compromissions différentes. Les bases peuvent donc concerner une même organisation tout en provenant d’attaques distinctes, menées à d’autres dates ou depuis des systèmes séparés. Par exemple, pour l’ANTS, trois bases différentes (par la taille et les dates affichées pour les 3 fichiers).
Cette distinction est importante. Une entreprise citée plusieurs fois n’est pas forcément victime d’une seule fuite copiée dans différents répertoires. Elle peut avoir connu plusieurs expositions successives, chacune livrant des catégories de données particulières. Sans inventaire technique complet, il reste impossible de mesurer précisément le nombre d’enregistrements uniques, la fraîcheur des informations ou leur niveau réel de sensibilité.
Les méthodes de stockage renforcent l’impression de coordination. L’un des pirates a sauvegardé les contenus sur Google Drive (Sic!). Deux autres ont choisi des services d’hébergement associés au dark web, dont BitBlob. Les publications auraient eu lieu le même jour, à la même heure. Une telle synchronisation peut résulter d’une préparation commune, d’un accord entre diffuseurs ou d’une simple volonté de provoquer un effet de masse.
Des courtiers en données derrière les archives ?
L’origine exacte de cette collection reste incertaine. Une hypothèse évoque un regroupement réalisé par des brokers criminels. Ces intermédiaires récupèrent des fichiers auprès d’autres pirates, les classent, les enrichissent parfois, puis les revendent à des fraudeurs, des groupes d’extorsion ou des acteurs spécialisés dans l’usurpation d’identité. Un pseudo, dans les dossiers, nous indique clairement un ancien administrateur de LookUp.
Cette piste expliquerait la diversité des organisations touchées, l’ancienneté variable des bases et la présence de plusieurs versions concernant une même cible. Elle correspondrait aussi à une logique d’agrégation, où la valeur commerciale repose moins sur une fuite isolée que sur l’accumulation de millions d’informations exploitables.
Aucune preuve disponible ne permet toutefois d’attribuer formellement cette compilation à un réseau de courtiers. Plusieurs pseudonymes figurent dans les fichiers, dont celui de Stormous (Re Sic!), un groupe souvent présenté comme russe. La présence d’un nom dans une archive ne démontre ni l’origine du vol, ni la participation directe de son propriétaire à la publication. Un pirate peut recopier une signature, redistribuer un dossier acheté ou conserver les marques laissées par un précédent détenteur.
La question centrale concerne donc la motivation. Pourquoi publier gratuitement des données qui pouvaient encore posséder une valeur marchande ? Aucun élément ne fournit de réponse certaine. Les diffuseurs peuvent chercher à accroître leur réputation ou, je penche pour ce cas, à fragiliser des victimes françaises.Une autre possibilité tient à l’effondrement d’un modèle économique clandestin. Des arrestations, des condamnations ou la fermeture de plateformes peuvent priver certains acteurs de leurs canaux habituels. Dans ce contexte, diffuser les stocks restants peut devenir un geste de colère, de dépit ou de représailles contre un écosystème criminel devenu moins rentable.
L’hypothèse d’une volonté spécifique de nuire à la France ne peut pas être écartée. Elle ne peut pas davantage être retenue sans messages explicites, revendication cohérente ou éléments techniques reliant les diffuseurs à une opération structurée. Le ciblage français peut résulter d’un choix idéologique, d’une opportunité commerciale ou simplement du contenu disponible au moment de la publication.
Cette vague rappelle surtout qu’une fuite ancienne conserve une valeur opérationnelle. Des données déjà revendues peuvent être recoupées, enrichies et réutilisées longtemps après leur vol initial. Pour le renseignement cyber, l’enjeu est désormais clair : distinguer la mise en scène de la menace réelle, repérer les bases inédites dissimulées dans cette masse de données, anticiper de potentielles cyberattaques et documenter un écosystème en perpétuelle évolution. Le service de veille et d’investigation de ZATAZ analyse ces signaux pour vous aider, que vous soyez un particulier, une association ou une entreprise, à mieux comprendre les risques et à renforcer votre protection.
merci à ZATAZ
