Fuite de données BlgCloud : un nombre non communiqué de personnes exposées

Le 8 août 2026, l'hébergeur cloud BlgCloud s'est retrouvé au cœur d'une revendication de compromission publiée sur un forum criminel, un acteur malveillant affirmant avoir accédé à plusieurs téraoctets de données réparties sur environ 159 environnements clients. L'entreprise conteste cette ampleur et déclare avoir identifié un périmètre nettement plus restreint, de l'ordre d'une douzaine d'instances affectées. Quel que soit le décompte final, les éléments cités — documents internes, coordonnées bancaires de type IBAN, adresses électroniques, noms et prénoms — relèvent sans ambiguïté de la catégorie des données à caractère personnel au sens du RGPD. Le nombre exact de personnes concernées n'a pas été communiqué à ce jour. Pour les clients hébergés comme pour leurs propres usagers, l'incident soulève trois questions immédiates : quelles données ont réellement quitté l'infrastructure, qui doit notifier quoi à la CNIL, et quelles mesures de protection doivent être déclenchées sans attendre la fin des investigations.

Que s'est-il passé : BlgCloud victime d'une violation de données

La séquence est classique dans les incidents visant des prestataires d'infrastructure. Une annonce est publiée par un acteur malveillant, accompagnée d'échantillons destinés à crédibiliser la revendication et à faire monter la pression sur la victime. Dans le cas présent, la revendication porte sur un accès à un large ensemble d'environnements clients, avec exfiltration de volumes importants. BlgCloud a réagi publiquement en contestant le chiffre avancé et en limitant le périmètre confirmé à un nombre réduit d'instances, avec exfiltration de coordonnées professionnelles et d'échanges commerciaux, ainsi que de documents sur une poignée d'entre elles seulement. L'entreprise affirme par ailleurs qu'aucune donnée bancaire n'aurait été touchée, ce qui entre en tension avec les catégories de données annoncées par l'attaquant, IBAN inclus.

Cette divergence entre revendication et communication officielle est fréquente et ne doit pas être lue comme une simple bataille de communication. Elle traduit souvent un écart entre ce que l'attaquant a effectivement copié et ce que les journaux techniques de la victime permettent de démontrer. Une exfiltration réalisée via un compte légitime compromis, un jeton d'API dérobé ou une console d'administration accessible depuis Internet laisse peu de traces exploitables si la journalisation n'est pas centralisée et conservée suffisamment longtemps. Le vecteur d'attaque initial n'a pas été rendu public. Sur ce type de plateforme mutualisée, les scénarios les plus courants restent la compromission d'identifiants d'administration sans second facteur, l'exploitation d'une vulnérabilité connue sur un composant exposé, ou un cloisonnement insuffisant entre environnements clients permettant un déplacement latéral.

Sur le plan de la sensibilité, l'ensemble cité est préoccupant même en l'absence de données dites sensibles au sens de l'article 9. Un IBAN associé à un nom, un prénom et une adresse électronique constitue un dossier directement exploitable pour la fraude au virement. Les documents professionnels, eux, alimentent des scénarios d'ingénierie sociale d'une crédibilité redoutable, puisqu'ils fournissent le vocabulaire interne, les noms des interlocuteurs et le contexte des dossiers en cours.

Obligations légales RGPD pour BlgCloud

Un hébergeur agit en principe comme sous-traitant au sens de l'article 28 du RGPD. Cette qualification ne le dispense pas d'obligations : l'article 33 §2 lui impose de notifier la violation au responsable de traitement dans les meilleurs délais après en avoir pris connaissance, sans seuil de gravité et sans délai forfaitaire. Ce sont ensuite les clients, en tant que responsables de traitement, qui disposent d'un délai de 72 heures pour notifier la CNIL au titre de l'article 33 §1, sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Tout retard doit être motivé dans la notification elle-même.

Lorsque la violation est susceptible d'engendrer un risque élevé, l'article 34 impose en outre d'informer directement les personnes concernées, dans un langage clair, en décrivant la nature de la violation, les conséquences probables et les mesures recommandées. La présence d'IBAN associés à des identités complètes fait clairement basculer l'analyse vers ce seuil pour les instances concernées. L'article 33 §5 impose par ailleurs de documenter toute violation dans un registre interne, y compris celles qui ne sont pas notifiées : ce registre est le premier document que l'autorité de contrôle demande en cas d'investigation.

Les sanctions encourues sont graduées. Un manquement aux obligations de sécurité de l'article 32 ou aux règles de notification relève du plafond de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements aux principes fondamentaux du traitement relèvent du plafond supérieur de 20 millions d'euros ou 4 %. Dans sa pratique décisionnelle, la CNIL sanctionne moins la survenue d'un incident que l'absence de mesures raisonnables en amont et l'opacité en aval.

Risques pour les personnes touchées et que faire

Le risque dominant est le phishing ciblé. Disposant de documents authentiques et de correspondances commerciales, un attaquant peut rédiger un message reprenant une référence de dossier réelle, ce qui neutralise l'essentiel des réflexes de vigilance. Vient ensuite la fraude au changement de coordonnées bancaires : un IBAN connu permet de fabriquer une demande de modification crédible auprès d'un service comptable. Le credential stuffing constitue le troisième vecteur, les adresses électroniques exposées étant systématiquement rejouées contre d'autres services avec des mots de passe issus de fuites antérieures. Enfin, la combinaison identité complète et documents ouvre la voie à l'usurpation d'identité pour l'ouverture de comptes ou de crédits.

Les réflexes à appliquer sans attendre : changer les mots de passe des comptes liés à la plateforme et de tout service réutilisant le même mot de passe ; activer l'authentification à deux facteurs partout où elle est disponible, en privilégiant une application d'authentification au SMS ; vérifier l'exposition de son adresse électronique sur Have I Been Pwned ; surveiller ses relevés bancaires et considérer toute demande de virement inattendue comme suspecte tant qu'elle n'a pas été confirmée par un canal indépendant. En cas de préjudice constaté, une plainte peut être déposée auprès de la CNIL, sans préjudice d'un dépôt de plainte pénale.

Enseignements pour les entreprises similaires

Cet incident rappelle qu'externaliser l'hébergement n'externalise pas la responsabilité. Le chiffrement au repos, avec une gestion des clés maîtrisée par le client plutôt que par le seul prestataire, réduit fortement la valeur des données exfiltrées. Le MFA obligatoire sur toutes les consoles d'administration et les accès techniques ferme le vecteur le plus fréquemment observé. La segmentation réseau et le cloisonnement strict entre environnements clients limitent la propagation d'une compromission unitaire à l'ensemble du parc. Des tests d'intrusion réguliers, incluant explicitement les scénarios de rebond entre tenants, permettent de valider ces cloisonnements plutôt que de les supposer. Côté contractuel, les clauses de l'article 28 doivent fixer des délais de notification chiffrés et un droit d'audit effectif.

La directive NIS 2 renforce cette exigence : les fournisseurs de services d'informatique en nuage figurent parmi les entités concernées, avec obligation d'alerte précoce sous 24 heures et de notification sous 72 heures auprès de l'autorité nationale. L'obligation s'étend à la maîtrise de la chaîne d'approvisionnement, ce qui impose aux clients d'évaluer formellement la posture de sécurité de leurs hébergeurs. D'autres cas comparables sont recensés sur notre panorama des fuites de données en France.

Questions fréquentes

Que faire si vous êtes client de BlgCloud ?

Demandez par écrit à votre prestataire la confirmation formelle que votre instance figure ou non dans le périmètre affecté, ainsi que la liste des catégories de données concernées. Cette réponse conditionne votre propre analyse de risque. En parallèle, réinitialisez les identifiants d'administration, révoquez les jetons d'API actifs, activez le MFA et documentez l'incident dans votre registre des violations, même en l'absence de notification à l'autorité.

BlgCloud doit-elle notifier la CNIL ?

En qualité de sous-traitant, l'obligation directe de BlgCloud est de notifier ses clients responsables de traitement dans les meilleurs délais. Ce sont ces derniers qui saisissent la CNIL sous 72 heures lorsque la violation présente un risque. Si l'hébergeur traite des données pour son propre compte, par exemple celles de ses prospects ou de ses salariés, il devient responsable de traitement pour ce périmètre et doit alors notifier lui-même.

Comment vérifier si vos données ont été exposées ?

Interrogez votre prestataire, qui seul dispose des journaux d'accès. Complétez par une vérification de vos adresses électroniques sur Have I Been Pwned et par une surveillance renforcée des tentatives de connexion sur vos comptes professionnels. L'absence de résultat ne constitue pas une preuve d'absence d'exposition, les jeux de données revendiqués n'étant pas toujours publiés ni indexés.