Groupe Réussir : 3,3 millions de lignes revendiquées par seraphims, accès non autorisé reconnu par Réussir Agra sans lien établi avec cette revendication

Le 5 octobre 2026, Cyberattaque.org a révélé que le pseudonyme seraphims revendiquait la compromission, en septembre 2026, de l’environnement du portail Réussir.fr, site d’information professionnelle agricole et agroalimentaire du Groupe Réussir, et proposait à la vente plusieurs bases représentant environ 3,3 millions de lignes. L’article a été mis à jour le 9 octobre pour y ajouter la réaction de l’entreprise : Réussir Agra a adressé à ses utilisateurs une notification reconnaissant qu’« un acte malveillant a généré un accès non autorisé à l’un de nos systèmes d’information », susceptible d’avoir entraîné la consultation de certaines données. Cette notification, reproduite sous forme de capture d’écran par Bonjour la fuite (qui l’a répertoriée le 9 octobre comme incident confirmé), n’est pas datée et ne mentionne pas la revendication de seraphims. Le statut « confirmée » ne porte donc que sur l’accès non autorisé reconnu par Réussir Agra ; la revendication de seraphims (volume, tables, date, méthode) reste non confirmée, et le rapprochement entre les deux est celui de Cyberattaque.org, sans élément de l’entreprise.

Les chiffres viennent uniquement de la revendication du pirate, relayée par Cyberattaque.org, seule source publique détaillée à ce stade, et aucune seconde source indépendante n’a été trouvée malgré des recherches dans la presse spécialisée. Le volume se compose de quatre tables : AspNetUsers (environ 215 000 comptes utilisateurs), ADR_REU et ADR_EXT (environ un million de lignes chacune, avec noms d’exploitations ou d’entreprises, noms, adresses, téléphones et courriels) et PHON_ENV_FICHE (environ un million de lignes, avec identités ou raisons sociales, numéros de téléphone et références de revues et de formules d’abonnement). Cyberattaque.org a obtenu les échantillons publiés et y a constaté des comptes, des coordonnées professionnelles, des adresses, des téléphones et des informations d’abonnement, dont certains enregistrements remontent à plusieurs années et d’autres ont été mis à jour en 2026. Ce volume est celui de l’article (le titre de Cyberattaque.org parle de « plus de 3,2 millions », et les volumes par table additionnés donnent environ 3,2 millions). Ces lignes cumulent des fichiers qui se recoupent, aucun nombre de personnes n’est donc retenu, et la plupart des enregistrements décrits concernent des exploitations, des GAEC, des EARL et d’autres professionnels agricoles, plutôt que des particuliers.

Selon la notification, les données potentiellement exposées, « selon les informations renseignées dans votre profil », peuvent inclure les identifiants de connexion, les coordonnées de la société et du particulier, les coordonnées téléphoniques, l’historique des factures et des données de production, la notification précisant que les données bancaires et moyens de paiement (IBAN, numéro de carte) n’ont pas été compromis, ce que rien ne permet de vérifier de façon indépendante. Cyberattaque.org résume cette notification en citant seulement les identifiants et les adresses électroniques, ce qui est plus restreint que la liste du message lui-même, laquelle sert ici de référence. Associer l’identité d’un exploitant, son exploitation, son adresse, son téléphone, son courriel et l’abonnement qu’il détient permet de construire des messages d’hameçonnage très crédibles, par exemple une fausse relance de facture ou d’abonnement signée d’un titre de presse agricole, d’un fournisseur ou d’un organisme professionnel. La gravité est retenue à « élevée » en raison du volume et de la précision des données professionnelles, sans donnée de santé ni donnée bancaire annoncée.

Réussir Agra indique avoir isolé complètement le système concerné, lancé une investigation technique approfondie pour identifier les causes, révisé sa stratégie d’accès aux systèmes concernés et notifié l’incident à la CNIL. Elle ne donne ni nombre de personnes concernées, ni date d’intrusion, ni description de la méthode, et la notification, adressée sous la marque Réussir Agra, ne précise pas si les autres titres du groupe sont touchés au-delà des trois sites qu’elle cite. Seul Réussir Agra s’exprime dans les sources consultées, aucune déclaration du Groupe Réussir lui-même n’a été trouvée, et le rattachement des fichiers revendiqués aux différents titres du groupe repose sur Cyberattaque.org.

Les abonnés de reussir.fr, de monkiosque.reussir.fr et d’agra.fr sont invités par l’entreprise à réinitialiser leur mot de passe lors de leur prochaine connexion et à définir un mot de passe unique, puis à modifier ce même mot de passe partout où il aurait été réutilisé. Les relances de facture, les propositions de renouvellement d’abonnement et les demandes de coordonnées bancaires reçues par courriel ou SMS sont à vérifier en se connectant directement au site concerné ou en rappelant le service abonnements, sans cliquer sur les liens du message. Les courriels suspects peuvent être signalés à Signal Spam, les SMS et appels frauduleux au 33700, et cybermalveillance.gouv.fr propose une assistance en cas de fraude avérée.