Infogreffe : 3,7 millions de lignes revendiquées, le GIE confirme un incident de cybersécurité sur une plateforme en cours de développement

Le 10 octobre 2026, un acteur cybercriminel a annoncé sur un forum spécialisé la mise à disposition gratuite d’un dépôt de 3 708 531 lignes qu’il dit avoir tiré du site d’Infogreffe, le groupement d’intérêt économique des greffiers des tribunaux de commerce qui diffuse les informations du registre du commerce. Cyberattaque.org attribue la revendication à un collectif se faisant appeler LunarisSec, à partir d’éléments, dont des captures d’écran, que le site dit s’être procurés et qui lui auraient été transmis par les attaquants (l’attribution relève donc de la revendication elle-même), tandis que Fuites Infos, qui s’appuie sur une capture du message du forum, ne nomme aucun auteur : cette attribution ne repose donc que sur une source à ce stade. Le 12 octobre, Infogreffe a publié un communiqué reconnaissant un incident de cybersécurité sur « un environnement technique d’une plateforme digitale, actuellement en cours de développement », sans impact identifié à ce jour sur les services de production ni sur l’activité des greffes. Le site d’Infogreffe n’ayant pas pu être consulté (accès refusé), ce communiqué n’est connu que tel que le reproduisent Cyberattaque.org et Fuites Infos, qui le citent ou le montrent en capture.

Le chiffre de 3 708 531 est un nombre de lignes revendiqué par l’acteur, repris tel quel par les deux sources, qui ne le vérifient pas et dont les articles reposent sur la même revendication : il ne désigne ni un nombre de personnes, ni un nombre d’enregistrements distincts, et Cyberattaque.org juge prématuré de parler de 3,7 millions de personnes, alors que Fuites Infos écrit que le nombre de personnes concernées n’est pas établi. Selon Cyberattaque.org, seule source sur ce point, le communiqué d’Infogreffe ne valide pas ce chiffre. Le seul ordre de grandeur observé provient de l’échantillon examiné par Fuites Infos, qui compte environ un millier d’événements distincts d’un journal d’audit associé au registre des sûretés mobilières, dont beaucoup répétés plus de 400 fois, entre le 24 juillet et le 10 octobre 2026, ainsi que 244 adresses électroniques distinctes saisies comme identifiants lors de tentatives de connexion : cette répétition rappelle qu’une ligne de journal n’est ni une personne ni un enregistrement distinct, ce qui explique qu’aucun nombre de victimes ne soit retenu ici.

Il faut distinguer ce qui relève du registre et ce qui n’en relève pas. Une grande partie des informations du registre du commerce (identité et dirigeants des sociétés, adresse du siège, statuts) est publique par nature, et leur simple présence dans un jeu de données ne constituerait pas une fuite au sens où l’on parle de données privées. Or ni Cyberattaque.org ni Fuites Infos ne rapportent que la revendication porte sur ces contenus : les éléments décrits sont des données techniques et d’authentification. L’acteur annonce, selon Fuites Infos, des paramètres de connexion à une base de données, des identifiants de messagerie, des clés secrètes et des profils d’utilisateurs, sans que rien de cela soit vérifié ; les captures relayées par Cyberattaque.org montrent une configuration de connexion PostgreSQL avec un champ de mot de passe masqué, dont rien ne prouve la validité, des journaux techniques faisant référence à Joget (une plateforme applicative) et à des comptes utilisateurs, et un écran intitulé « Les impayés » dont une ligne affiche un montant invraisemblable, sans qu’on puisse en déduire l’ampleur de l’exfiltration. Dans l’échantillon, Fuites Infos ne trouve aucun mot de passe, aucune chaîne de connexion ni clé, mais un fichier de configuration distinct contient deux valeurs secrètes de service dont la validité n’est pas établie. Ni l’une ni l’autre des sources ne précise comment l’authenticité de ces éléments a été contrôlée, et les risques concrets tiennent moins à un volume qu’à deux hypothèses non démontrées : la validité éventuelle de secrets donnant accès à d’autres services, et l’usage des adresses relevées pour de l’hameçonnage crédible se faisant passer pour Infogreffe, risque que souligne Fuites Infos.

Infogreffe indique que les éléments analysés concernent « essentiellement des informations techniques » et qu’aucune donnée métier des greffes ni aucun mot de passe utilisateur n’a été identifié dans les éléments publiés, formulation qui renvoie à une analyse encore en cours : la cellule de crise a été activée, des experts en cybersécurité sont mobilisés et les investigations se poursuivent pour confirmer le périmètre. La fiche est classée « confirmée » parce que le groupement reconnaît un incident, mais ce qu’il reconnaît porte sur l’environnement technique d’une plateforme en cours de développement, dont le périmètre reste à confirmer, et il ne valide pas le volume revendiqué (selon Cyberattaque.org) ni ne détaille le contenu des éléments publiés, qu’il décrit comme essentiellement techniques. Aucune notification à la CNIL n’est mentionnée par les sources consultées, aucune réaction du Conseil national des greffiers des tribunaux de commerce n’a été retrouvée au 14 octobre 2026, et aucun lien n’est établi entre cet incident et celui du greffe du Tribunal des activités économiques de Paris (voir la fiche greffe du TAE de Paris), qui concerne une autre entité, une autre date et un autre acteur revendiqué. Le groupement avait par ailleurs été sanctionné par la CNIL d’une amende de 250 000 euros (délibération SAN-2022-018 du 8 septembre 2022, rendue publique le 13 septembre) pour une conservation excessive des données et des mots de passe transmis et stockés en clair : ce montant est une sanction et non un volume de données, et ce dossier n’a aucun rapport technique établi avec l’incident actuel.

Pour les titulaires d’un compte Infogreffe, Fuites Infos recommande par précaution de changer son mot de passe, ainsi que celui de tout autre service où il est réutilisé, même si Infogreffe dit n’avoir identifié aucun mot de passe d’utilisateur. Il vaut mieux se méfier de tout courriel se réclamant d’Infogreffe, par exemple une demande de règlement d’un extrait Kbis ou d’une relance, et accéder au service en saisissant soi-même l’adresse du site plutôt qu’en cliquant sur un lien. Les messages suspects peuvent être signalés à Signal Spam pour les courriels et au 33700 pour les SMS et les appels, et cybermalveillance.gouv.fr propose un accompagnement gratuit aux victimes ; les entreprises ont intérêt à vérifier par un canal indépendant toute demande de paiement ou de modification de coordonnées bancaires. Cette fiche sera mise à jour si Infogreffe précise le périmètre de l’incident, si une notification à la CNIL est rendue publique ou si le Conseil national des greffiers se prononce.