Wesco reconnaît un incident lié à son CRM cloud
Le géant américain de la distribution et de la chaîne d'approvisionnement Wesco a confirmé auprès de BleepingComputer qu'il enquêtait sur un incident de cybersécurité, suite aux accusations du groupe d'extorsion de données ExfilSquad, qui affirme avoir volé des informations sensibles auprès de l'entreprise.
Jennifer Sniderman, vice-présidente de la communication d'entreprise de Wesco, a précisé que l'incident concerne l'environnement CRM cloud de l'entreprise : « Wesco est au courant d'une allégation d'exfiltration de données CRM par un tiers. Nous avons travaillé avec notre fournisseur de CRM cloud sur cette question, et nous ne pensons pas qu'il y ait un risque pour les données sensibles. »
Wesco affirme avoir détecté l'incident rapidement et que son investigation n'a révélé aucune preuve de rançongiciel ou d'autre logiciel malveillant sur ses systèmes informatiques. La société indique ne pas avoir subi de perturbation de ses activités et que toutes ses opérations continuent normalement. Elle estime que les informations relatives aux cartes de paiement, aux comptes financiers ou autres données sensibles de ses clients et employés ne sont pas menacées.
Les revendications d'ExfilSquad : 2,6 millions d'enregistrements
ExfilSquad, un groupe d'extorsion émergent identifié mi-2026, a publié les données prétendument exfiltrées des systèmes de Wesco après l'expiration du délai imposé à l'entreprise pour entrer en négociations de rançon. Selon le groupe, le vol porterait sur 2,6 millions d'enregistrements contenant :
- des données personnelles (PII) de clients et d'employés ;
- des données de comptes et de contacts ;
- des profils d'utilisateurs CRM ;
- des identifiants de crédit et des identifiants commerciaux ;
- des métadonnées d'authentification et des informations d'accès.
Wesco n'a pas confirmé ces chiffres. Interrogée par BleepingComputer sur les détails des revendications d'ExfilSquad, l'entreprise n'a pas répondu aux questions supplémentaires.
Qui est Wesco ?
Wesco est une entreprise du classement Fortune 500 spécialisée dans la distribution de produits électriques, électroniques, de communication, de sécurité, de services publics et de haut débit, tout en proposant des services logistiques et de chaîne d'approvisionnement aux entreprises. La société emploie environ 21 000 personnes et exploite plus de 700 centres de distribution, centres de traitement et bureaux de vente dans une cinquantaine de pays. Elle a généré environ 24 milliards de dollars de chiffre d'affaires l'an dernier.
L'enjeu est donc considérable : un acteur de cette envergure, maillon clé de chaînes d'approvisionnement critiques, constitue une cible de choix pour des groupes cherchant à maximiser la pression extorsive.
ExfilSquad : un groupe qui n'utilise pas de rançongiciel
Selon un rapport détaillé publié le 7 août 2026 par la société de cybersécurité Resecurity, ExfilSquad se distingue des groupes de rançongiciels classiques par sa méthode : il ne déploie ni rançongiciel ni malware destructeur. Au lieu de cela, le groupe s'infiltre dans des systèmes mal configurés, exfiltre les données, puis menace de les publier sur son site de fuite (Data Leak Site, DLS) accessible via le réseau Tor, à moins qu'une rançon ne soit versée.
Resecurity note qu'ExfilSquad a récemment donné un délai ferme au 5 août 2026 pour conclure toutes les négociations, faute de quoi les données seraient rendues publiques. Le 7 août, le groupe a effectivement téléversé des fichiers torrent pour chaque victime, prouvant la crédibilité de ses menaces.
D'après les analyses de Resecurity et de la société VenariX, ExfilSquad cible systématiquement des portails Microsoft Power Pages mal configurés, où des tables de données Microsoft Dataverse sont accessibles à des utilisateurs anonymes en raison de permissions excessives. VenariX a examiné des échantillons associés à 11 des 15 victimes revendiquées par le groupe et a trouvé des structures cohérentes avec Microsoft Dataverse dans tous les cas.
Wesco n'a pas précisé comment l'attaquant a accédé à son réseau, mais les informations publiquement disponibles indiquent que l'entreprise utilise Microsoft Dynamics 365, ce qui est cohérent avec le mode opératoire d'ExfilSquad.
Une vague d'attaques touchant de nombreuses organisations
L'attaque contre Wesco n'est qu'un épisode d'une campagne beaucoup plus large. Selon le rapport de Resecurity, ExfilSquad a visé au moins 13 organisations aux États-Unis, au Royaume-Uni et en Suède, parmi lesquelles :
| Victime | Enregistrements revendiqués |
|---|---|
| City of Houston | ~6 millions |
| City of Atlanta | ~3 millions |
| Frontier Airlines | ~2,4 millions |
| Wesco International | ~2,6 millions |
| TaylorMade & Sun Day Red Golf | ~2 millions |
| Allstate | ~657 000 |
| UK Department for Education | ~600 000 |
| Newcastle University | ~440 000 |
| Viavi Solutions | ~430 000 |
| Bonava (Suède) | ~842 000 |
| Police National Legal Database (UK) | ~135 000 |
| DC Public Schools | ~60 000 |
Le groupe aurait également revendiqué un piratage de la Zenith Bank au Nigeria (90 millions d'enregistrements, 874 Go), mais ces revendications ont depuis été retirées de leur site — sans que l'on sache si un paiement a été effectué ou pour d'autres raisons.
Des précédents inquiétants : Analog Devices et la PNLD britannique
ExfilSquad s'est fait connaître notamment par l'attaque contre Analog Devices (ADI), géant américain des semi-conducteurs. ADI a officiellement déclaré à la SEC avoir détecté un accès non autorisé à certains de ses systèmes le 23 juin 2026. ExfilSquad avait alors annoncé le vol de plus de 570 000 enregistrements, mais ADI a depuis été retiré du site de fuite du groupe — ce qui suggère là encore une possible transaction.
Le groupe a également ciblé la Police National Legal Database (PNLD) britannique, le système de référence juridique utilisé par les 43 forces de police d'Angleterre et du Pays de Galles. La breach a exposé les noms et adresses e-mail professionnelles de plus de 100 000 officiers de police et professionnels de la justice pénale, publiés sur le dark web. Le National Crime Agency (NCA) britannique enquête sur l'incident, qui a également touché le service public « Ask the Police ». La PNLD, qui utilise la technologie Microsoft Power Platform, correspondait parfaitement au profil des victimes d'ExfilSquad.
Des membres potentiellement mineurs
Un élément frappant ressort de l'enquête de Resecurity : lors d'un entretien avec un représentant d'ExfilSquad, il a été suggéré que des adolescents pourraient être impliqués dans les activités du groupe. Le Times britannique a rapporté que « beaucoup de jeunes sont attirés par le piratage parce que cela ressemble à un jeu — on y gagne de la reconnaissance, un sentiment d'identité, de communauté et beaucoup de pouvoir ».
Le représentant a également confirmé que le groupe ciblait des tables de données Microsoft Power Pages non correctement protégées. Resecurity ne relie pas pour l'instant ExfilSquad à un conglomérat de rançongiciels connu ou à un acteur soutenu par un État.
Une tactique de distribution par torrent inédite par son ampleur
Un autre aspect notable des opérations d'ExfilSquad est l'utilisation systématique de fichiers torrent pour diffuser les données volées. Selon Resecurity, chaque victime se voit attribuer un tracker torrent unique et un web seed initial, ce qui rend les opérations du groupe plus difficiles à suivre que celles d'acteurs utilisant un seul tracker.
Cette approche, déjà utilisée par des groupes comme LockBit 3.0 et Cl0p, garantit que les données, une fois publiées, ne peuvent plus être supprimées : les participants au réseau P2P peuvent continuer à les diffuser indéfiniment. Resecurity a identifié plus de 50 seeds actifs, avec des hôtes situés notamment en Chine et en Russie parmi les plus précoces.
Recommandations et enseignements
L'affaire Wesco et la campagne plus large d'ExfilSquad soulignent un risque majeur : les configurations par défaut ou trop permissives de Microsoft Power Pages peuvent exposer des volumes considérables de données à quiconque, sans même nécessiter d'authentification. VenariX recommande aux organisations utilisant Power Pages de :
- vérifier les permissions des tables pour les utilisateurs anonymes ;
- auditer les paramètres de l'API Web et les flux OData hérités ;
- tester l'accès depuis une session de navigateur non authentifiée pour valider la configuration.
Microsoft propose un contrôle au niveau du tenant permettant de bloquer la lecture de données Dataverse par les utilisateurs non authentifiés tout en autorisant les soumissions de formulaires publics — un paramètre qui aurait dû être validé avant déploiement, et non après une fuite.
Pour Wesco, dont l'enquête est toujours en cours, la question centrale reste de savoir si les 2,6 millions d'enregistrements revendiqués par ExfilSquad correspondent réellement à des données exposées, et dans quelle mesure les informations de clients et d'employés ont été compromises. La divergence entre les assurances de l'entreprise (« aucun risque pour les données sensibles ») et les revendications du groupe d'extorsion (PII, métadonnées d'authentification, informations d'accès) devra être éclaircie dans les prochaines semaines.