Accenture : 35 Go de source code et clés Azure volés

Accenture victime d'un vol massif de secrets DevOps

Le 6 juillet 2026, un acteur de la menace opérant sous l'alias « 888 » a publié une annonce sur PwnForums, l'un des forums cybercriminels actifs les plus surveillés par les chercheurs en sécurité. L'annonce revendique l'exfiltration de « plus de 35 Go de code source » appartenant à Accenture, la multinationale irlando-américaine de conseil et services informatiques dont le chiffre d'affaires 2025 dépasse 65 milliards de dollars. Accenture intervient auprès de pratiquement tous les grands comptes mondiaux, ce qui confère à cette fuite une portée potentielle bien au-delà de sa seule infrastructure interne.

Selon la mise en vente publiée par « 888 », le butin ne se limite pas à de simples fichiers de code. L'acteur affirme avoir obtenu des clés RSA et SSH, des Azure Personal Access Tokens (PATs), des clés d'accès Azure Storage et des fichiers de configuration interne. Pour étayer sa revendication, il a joint une capture d'écran montrant l'accès à un dépôt Azure DevOps privé hébergé sous un domaine de production accenture.com. Cette capture constitue un premier niveau de preuve que la fuite ne repose pas uniquement sur des données recyclées d'incidents antérieurs.

La nature des données revendiquées est particulièrement préoccupante. Les Azure Personal Access Tokens (PATs) sont des jetons d'authentification qui permettent à des outils automatisés d'accéder aux pipelines CI/CD, aux artefacts de build et aux dépôts de code sans requérir de session utilisateur interactive. S'ils sont toujours valides, ces tokens pourraient permettre à un attaquant d'injecter du code malveillant dans des pipelines de livraison logicielle actifs — un scénario classique de compromission de chaîne d'approvisionnement (supply chain attack). Les clés SSH et RSA ouvrent quant à elles des vecteurs d'accès à des systèmes de production et à des échanges chiffrés.

Contactée par Help Net Security, une représentante d'Accenture a confirmé être « au courant de cette affaire isolée » et avoir « remédié à la source » de l'incident. La société n'a fourni aucun détail supplémentaire sur le périmètre compromis, le vecteur d'attaque initial, ni la fenêtre temporelle durant laquelle l'acteur a pu avoir accès aux systèmes. Elle a cependant précisé que ses opérations et la livraison de services à ses clients n'avaient pas été impactées — une affirmation difficile à vérifier indépendamment à ce stade.

Ce n'est pas la première fois qu'« 888 » cible Accenture. En juin 2024, cet acteur avait déjà tenté de commercialiser un jeu de données supposément extrait d'une compromission de tiers, revendiquant les données personnelles de 32 826 employés et anciens employés d'Accenture. À l'époque, Accenture avait contesté la valeur de l'information, indiquant que le lot ne contenait en réalité que trois noms et adresses e-mail associés au domaine de la société. La qualité variable des revendications passées de cet acteur invite à une certaine prudence, même si la capture d'écran du dépôt Azure constitue un élément de crédibilité non négligeable.

La compromission présumée d'Azure DevOps représente un risque particulier pour les clients d'Accenture. Le cabinet gère pour le compte de nombreux grands comptes mondiaux des pipelines de développement, des environnements de test et des déploiements cloud. Si des tokens PAT actifs appartenant à des projets clients étaient inclus dans le lot volé, ces derniers pourraient être exposés sans le savoir. La question de la rotation des secrets et de la révocation des tokens compromis est donc urgente, non seulement pour Accenture en interne, mais potentiellement pour l'ensemble de ses clients utilisant Azure DevOps dans le cadre de prestations externalisées.

Les chercheurs de BleepingComputer et de SecurityWeek ont confirmé avoir visualisé la publication de l'acteur sur PwnForums. Selon SecurityAffairs, le profil « 888 » est associé à plusieurs revendications de violations notables en 2024 et 2025, ce qui lui confère une notoriété dans les cercles de recherche sur les menaces, même si la fiabilité des données proposées à la vente reste sujette à vérification au cas par cas. Pour l'heure, Accenture n'a pas communiqué sur une notification auprès des autorités de protection des données, ce qui serait requis sous le RGPD dans un délai de 72 heures si des données personnelles de ressortissants européens sont concernées.

Selon les chercheurs de GBHackers, la fuite exposerait également des fichiers de configuration révélant potentiellement l'architecture interne des systèmes d'Accenture, y compris les connexions entre différents environnements cloud et les systèmes hérités de clients. Ce type de cartographie interne est précieux pour préparer des attaques ultérieures ciblées, même si les secrets eux-mêmes venaient à être révoqués dans les heures suivant la publication de l'annonce.

Quand le conseil IT mondial devient une cible stratégique

L'incident Accenture s'inscrit dans une tendance de fond documentée par les chercheurs en cybersécurité : les grands intégrateurs et cabinets de conseil IT deviennent des cibles de choix précisément parce qu'ils constituent des points d'accès privilégiés vers de multiples organisations. Un acteur qui compromet un prestataire de services managés (MSP) ou un cabinet de conseil de premier rang accède potentiellement, via les pipelines DevOps et les connexions VPN de service, à des dizaines voire des centaines de clients en aval.

Ce modèle de compromission indirecte — désigné sous le terme de « island hopping » dans la littérature de threat intelligence — a été documenté dans des campagnes attribuées à des groupes APT étatiques comme APT10 (Chine), Cozy Bear (Russie) et des acteurs nord-coréens. Il n'est pas exclu que la compromission revendiquée par « 888 » soit le fruit d'une revente ou d'une collaboration avec des acteurs plus sophistiqués, qui auraient utilisé un intermédiaire cybercriminel pour monnayer des accès obtenus lors d'une opération d'espionnage. Cette hypothèse reste spéculative, mais elle ne peut être écartée étant donné la nature des secrets DevOps prétendument exfiltrés.

Du point de vue réglementaire, Accenture opère dans de nombreuses juridictions soumises à des obligations strictes de notification en cas de violation de données. En Europe, le RGPD impose une déclaration à l'autorité de contrôle compétente dans les 72 heures suivant la prise de connaissance de l'incident, et une notification aux personnes concernées si le risque pour leurs droits et libertés est élevé. Pour les contrats impliquant des entités gouvernementales ou des infrastructures critiques, la directive NIS2 impose des obligations supplémentaires. L'absence de communication proactive d'Accenture sur ces obligations constitue un signal à surveiller dans les prochains jours.

La pression sur les grandes entreprises de services IT pour sécuriser leurs chaînes d'approvisionnement logicielles s'intensifie depuis l'incident SolarWinds de 2020. La multiplication des exigences en matière de Software Bill of Materials (SBOM) et de contrôles des accès aux pipelines CI/CD, portée notamment par la directive NIS2 en Europe, place les intégrateurs dans une position paradoxale : ils sont à la fois les prestataires chargés d'aider leurs clients à se conformer à ces exigences, et des cibles potentielles dont la compromission peut invalider ces mêmes efforts de conformité chez leurs clients.

Ce qu'il faut retenir

• L'acteur « 888 » revendique 35 Go de données Accenture incluant des secrets Azure DevOps ; Accenture confirme l'incident sans détailler le périmètre exact.
• La présence potentielle de tokens PAT Azure actifs dans le lot représente un risque de compromission de chaîne d'approvisionnement pour les clients du groupe.
• Les entreprises clientes d'Accenture sur Azure DevOps doivent auditer et faire pivoter leurs secrets sans attendre la confirmation officielle de la portée de l'incident.