Une revendication d'ampleur sur un forum pirate
Deux pirates identifiés sous les pseudonymes Misere et Chimeraz ont publié, sur un forum souterrain, un message revendiquant une intrusion massive chez BlgCloud, éditeur français d'un logiciel ERP (progiciel de gestion intégré) accessible dans le cloud. Selon leurs propres déclarations, les attaquants auraient obtenu un accès à environ 159 environnements clients sur les plus de 230 instances distincts que compterait la plateforme — soit près de 69 % du parc total selon leur propre décompte.
La publication est accompagnée d'une longue liste d'instances présentées comme compromises, incluant des identifiants associés à des entreprises de location de matériel, de manutention, d'agriculture, de matériel professionnel, de nautisme et de travaux publics. ZATAZ, qui a révélé l'information le 11 août 2026, a fait le choix de ne pas diffuser les noms des entreprises potentiellement impactées.
⚠️ Précaution essentielle : la présence d'un nom dans la liste diffusée par les pirates constitue uniquement une affirmation de leur part. Rien ne permet, à ce stade, de confirmer indépendamment qu'une intrusion a effectivement touché chacune de ces organisations.
BlgCloud, un acteur SaaS du secteur des matériels professionnels
La société BlgCloud, dont le siège est situé dans l'Oise (téléphone : 03 44 40 83 44), commercialise une solution ERP SaaS destinée à un marché de niche mais stratégique : les concessionnaires, loueurs, réparateurs, importateurs, grossistes et centrales d'achats spécialisés dans plusieurs secteurs :
- Machinisme agricole
- Motoculture et espaces verts
- Manutention
- Travaux publics
- Poids lourds et utilitaires
- Nautisme
- Négoce automobile
D'après le site officiel de l'entreprise (blgcloud.fr), la plateforme revendique plus de 26 284 utilisateurs et propose une suite applicative couvrant le CRM, la location, la vente, le SAV, la gestion de parc, les achats, la finance et l'omnicanal. BlgCloud dispose également d'une version internationale (blgcloud.com) et mentionne une présence au Maroc. L'entreprise se présente comme « Plateforme Agréée » pour la facturation, ce qui suggère une conformité réglementaire spécifique.
Des données massives exfiltrées et mises en vente
Les pirates affirment avoir copié des courriels, des bases CRM et différents documents professionnels. Ils évoquent « des millions de documents » ainsi que plusieurs téraoctets de données. Leur message reconnaît toutefois que toutes les instances accessibles n'auraient pas été intégralement téléchargées, ce qui suggère une exfiltration sélective plutôt qu'un aspirage systématique.
Les attaquants présentent l'accès obtenu comme encore exploitable et proposent explicitement à des tiers d'acquérir leur méthode d'intrusion. Deux offres distinctes sont décrites :
- L'achat de la méthode d'accès et de la vulnérabilité présumée, permettant à un acquéreur d'extraire lui-même des informations depuis les environnements compromis.
- L'achat direct des données correspondant à une entreprise particulière parmi celles listées.
Cette distinction est cruciale du point de vue du renseignement cyber : la vente d'une vulnérabilité ou d'une méthode d'accès permet une nouvelle exploitation indépendante par d'autres acteurs malveillants, tandis que la commercialisation d'archives déjà volées prolonge surtout les conséquences de la compromission initiale.
Une stratégie d'extorsion en plusieurs temps
La revendication prend une dimension d'extorsion classique mais structurée :
- Tentative de contact préalable : Misere et Chimeraz déclarent avoir tenté de contacter BlgCloud sans recevoir de réponse.
- Publication quotidienne gratuite : en l'absence de réponse, ils promettent de publier gratuitement, chaque jour, les données d'une entreprise issue de leur liste. Cette pratique d'exposition progressive vise à maximiser la pression tout en démontrant la réalité du vol.
- Demande de paiement finale : les attaquants indiquent que BlgCloud pourrait encore mettre fin aux divulgations en les payant, ce qui rapproche explicitement l'opération d'un schéma d'extorsion par menace de publication.
Cette stratégie — qui combine pression publique, revente à des tiers et demande de rançon — n'est pas sans rappeler les tactiques employées par les groupes de rançongiciels les plus actifs, à ceci près que Misere et Chimeraz ne semblent pas procéder à un chiffrement des systèmes. L'opération relève davantage d'une extorsion par exfiltration pure (dit « double extortion » sans la composante chiffrement).
Un contexte français tendu
Cette revendication intervient dans un contexte de pression cybercriminelle particulièrement élevée sur la France. Selon un autre rapport de ZATAZ publié le 8 août 2026, 43 organisations françaises ont fait l'objet de revendications par des groupes de rançongiciels entre le 1er juillet et le 8 août 2026. Les groupes The Gentlemen (13 victimes) et Qilin (7 victimes) dominent ce classement, touchant des secteurs aussi variés que l'industrie, la finance, les collectivités locales, la santé, l'alimentation ou le tourisme.
Par ailleurs, ZATAZ a révélé le 8 août 2026 la découverte d'un stockage pirate réunissant plus de 1,7 milliard de couples adresse électronique / mot de passe liés au domaine français, accumulés sur treize années de phishing et de fuites. Ce contexte souligne l'importance de la vigilance face à la réutilisation d'identifiants, qui pourrait notamment permettre à des attaquants de compromettre des accès SaaS comme ceux de BlgCloud.
L'impact potentiel sur les clients
La compromission d'un éditeur SaaS présente une particularité critique par rapport à une attaque visant une entreprise unique : l'effet de chaîne. Lorsqu'un fournisseur SaaS est compromis au niveau de son infrastructure, ce ne sont pas ses seules données internes qui sont exposées, mais potentiellement celles de tous ses clients hébergés sur la même plateforme.
Dans le cas de BlgCloud, les données concernées peuvent inclure :
- Des bases CRM contenant les informations clients et prospects des entreprises utilisatrices ;
- Des documents commerciaux (devis, contrats, factures) ;
- Des courriels susceptibles de contenir des informations confidentielles ;
- Des données financières liées à la gestion de parc et aux activités de location/vente.
Pour les distributeurs et loueurs de matériels professionnels visés, les conséquences potentielles vont au-delà de la simple fuite : usurpation d'identité commerciale, fraudes aux fournisseurs par réutilisation d'informations volées, ou encore compromission d'accès à d'autres systèmes via la réutilisation de mots de passe.
Que doivent faire les organisations concernées ?
Bien qu'aucune confirmation officielle de la part de BlgCloud n'ait été rendue publique à l'heure de la rédaction de cet article, plusieurs mesures de précaution s'imposent pour les clients potentiels :
- Vérifier auprès de BlgCloud si leur instance figure parmi celles potentiellement impactées.
- Renforcer l'authentification : activer l'authentification multifacteur (MFA) sur tous les comptes disposant d'accès à la plateforme.
- Surveiller les journaux de connexion pour détecter toute activité suspecte ou accès inhabituel.
- Anticiper le phishing : les données volées (adresses e-mail, noms d'entreprises) pourraient être utilisées pour des campagnes d'hameçonnage ciblées.
- Notifier l'ANSSI (Agence nationale de la sécurité des systèmes d'information) en cas de confirmation de compromission, conformément aux obligations légales.
Du côté de l'éditeur, la gestion de cet incident rappelle l'importance d'une communication proactive auprès des clients concernés. Le silence face à des attaquants — tel que rapporté par les pirates — peut paradoxalement aggraver la situation en laissant les organisations victimes dans l'ignorance du risque.
Un schéma d'attaque en pleine expansion
Les attaques contre les fournisseurs SaaS et ERP ne sont pas un phénomène nouveau, mais elles semblent s'intensifier. L'attrait pour ces cibles tient à un facteur simple : un seul point d'entrée peut ouvrir l'accès à des dizaines, voire des centaines d'organisations clientes. Les attaquants Misere et Chimeraz l'illustrent parfaitement en proposant non seulement des données, mais aussi la méthode d'accès elle-même, créant un risque de propagation de la compromission bien au-delà de leur intervention initiale.
L'affaire BlgCloud, si elle est confirmée, s'inscrirait dans une série d'incidents rappelant que la sécurité d'un fournisseur SaaS est aussi celle de tout son écosystème de clients — et qu'une négligence côté éditeur peut se transformer en crise simultanée pour des dizaines d'entreprises qui, souvent, n'ont même pas conscience d'être concernées.
CyberBar suivra l'évolution de cette affaire et publiera toute confirmation ou démenti officiel de la part de BlgCloud ou des autorités.