Fuite de données Groupe T2MC (2026) : analyse RGPD

Le 1er août 2026, une revendication publiée sur un forum cybercriminel a mis en cause Groupe T2MC, entreprise française de propreté, de nettoyage industriel et de services d'accueil. L'auteur du message affirme détenir une base de données issue des processus de recrutement et de gestion des ressources humaines de la société, accompagnée d'un volume massif de documents internes estimé à 26 gigaoctets. Les catégories de données évoquées — nom, prénom, adresse postale, adresse électronique, numéro de téléphone, copies de cartes nationales d'identité, cartes Vitale et numéros de sécurité sociale — placent cet incident dans la catégorie des violations les plus critiques au sens du RGPD. Le nombre exact de personnes concernées n'a pas été communiqué, mais la nature des informations exposées suffit à qualifier un risque élevé pour les droits et libertés des candidats et salariés touchés. Cet article analyse les faits, les obligations réglementaires qui en découlent et les mesures concrètes à prendre, tant pour les victimes que pour les entreprises exposées aux mêmes risques.

Que s'est-il passé : Groupe T2MC victime d'une violation de données

La revendication apparaît début août 2026 sur un forum spécialisé dans la revente et la diffusion de données volées. L'auteur, dont l'identité et le rattachement à un groupe organisé ne sont pas établis, publie une annonce désignant nommément le site groupet2mc.fr et propose un lot combinant une base de données structurée et une archive documentaire d'environ 26 Go. À ce stade, aucune communication publique de l'entreprise ne confirme ni n'infirme la revendication, et l'authenticité complète du lot n'a pas été vérifiée de manière indépendante. Cette incertitude est fréquente : dans de nombreux cas recensés sur notre observatoire des fuites de données en France, plusieurs semaines s'écoulent entre la publication et la confirmation officielle.

Le vecteur d'attaque n'est pas documenté. Les scénarios les plus courants pour ce type de cible restent l'exploitation d'une application de recrutement exposée sur Internet, la compromission d'un compte administrateur via des identifiants réutilisés, ou l'accès à un espace de stockage partagé mal cloisonné. La présence conjointe d'une base structurée et d'une arborescence documentaire suggère un accès prolongé à un environnement interne plutôt qu'une simple extraction depuis un formulaire web.

La sensibilité du contenu est le point critique. Un numéro de sécurité sociale (NIR) constitue en droit français un identifiant strictement encadré. Combiné à une copie de pièce d'identité et à une attestation de carte Vitale, il forme un dossier d'usurpation d'identité quasi complet : ces trois éléments sont précisément ceux qu'exigent de nombreux organismes pour ouvrir un compte, souscrire un crédit ou modifier une affiliation. Contrairement à un mot de passe, aucune de ces données ne peut être révoquée ou changée. Les personnes concernées, en majorité des candidats à l'embauche et des salariés du secteur de la propreté, figurent par ailleurs parmi les publics les plus vulnérables aux fraudes administratives.

Obligations légales RGPD pour Groupe T2MC

En tant que responsable de traitement de données RH, l'entreprise est soumise à un cadre précis. L'article 33 du RGPD impose la notification de la violation à la CNIL dans un délai de 72 heures après en avoir pris connaissance, sauf si la violation est improbable d'engendrer un risque. Compte tenu de la présence de NIR et de pièces d'identité, cette exception est ici inapplicable : la notification est obligatoire, et un dépassement du délai doit être motivé.

L'article 34 ajoute une obligation d'information directe des personnes concernées lorsque le risque est élevé. Cette communication doit être rédigée en termes clairs, décrire la nature de la violation, les catégories de données touchées, les conséquences probables et les mesures recommandées. Un simple communiqué générique sur un site institutionnel ne satisfait pas cette exigence lorsque les coordonnées des victimes sont connues.

L'article 33 §5 impose enfin la tenue d'un registre interne des violations, documentant les faits, leurs effets et les mesures correctives — y compris pour les incidents non notifiés. Ce registre est le premier document réclamé lors d'un contrôle.

Sur le plan des sanctions, le règlement prévoit deux paliers : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements aux obligations de sécurité et de notification (articles 32 à 34), et jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires pour les violations des principes fondamentaux. Au-delà de l'amende administrative, l'exposition au contentieux civil est réelle : les personnes concernées peuvent réclamer réparation d'un préjudice moral, et les actions de groupe en matière de données personnelles se multiplient.

Risques pour les personnes touchées et que faire

Trois menaces dominent après une fuite de ce type. Le hameçonnage ciblé d'abord : disposant du nom, de l'employeur et de l'historique de candidature, un attaquant rédige des messages crédibles se faisant passer pour le service RH, un organisme social ou une mutuelle. Le credential stuffing ensuite : les adresses e-mail exposées sont testées massivement sur d'autres services, et tout mot de passe réutilisé ouvre un accès en cascade. L'usurpation d'identité enfin, la plus durable, alimentée par les pièces justificatives et le numéro de sécurité sociale.

Les réflexes à adopter sans attendre : changer le mot de passe de la messagerie principale puis de tout service partageant le même mot de passe, en privilégiant des mots de passe uniques stockés dans un gestionnaire ; activer l'authentification à deux facteurs (2FA) partout où elle est disponible, en préférant une application d'authentification aux SMS ; surveiller les comptes bancaires et les relevés de l'Assurance maladie pour détecter des remboursements ou affiliations inconnus ; tester ses adresses e-mail sur Have I Been Pwned ; refuser systématiquement toute demande de vérification d'identité reçue par e-mail ou téléphone, même contextualisée. En cas de préjudice constaté, une plainte peut être déposée et une réclamation adressée à la CNIL, en conservant toutes les preuves (messages, captures, relevés).

Enseignements pour les entreprises similaires

Les données de recrutement constituent un angle mort classique. Elles s'accumulent dans des outils annexes, souvent hors du périmètre surveillé, et conservent des pièces d'identité bien au-delà des durées légales. Quatre mesures réduisent significativement l'exposition. Le chiffrement au repos des bases RH et des espaces documentaires, associé à une purge automatique des candidatures non retenues au bout de deux ans maximum. L'authentification multifacteur sur tous les accès distants, VPN et consoles d'administration incluses. La segmentation réseau, pour qu'une compromission bureautique n'ouvre pas l'accès aux serveurs de fichiers. Enfin des tests d'intrusion réguliers couvrant explicitement les applications métier exposées, pas uniquement le site vitrine.

La directive NIS 2, transposée en droit français, élargit par ailleurs le périmètre des entités soumises à des exigences de sécurité renforcées et engage directement la responsabilité des dirigeants. Les prestataires de services aux entreprises, y compris dans le facility management, entrent fréquemment dans le champ des entités importantes au titre de la chaîne d'approvisionnement de leurs clients.

Questions fréquentes

Que faire si vous êtes client de Groupe T2MC ?

Les données revendiquées concernent principalement les processus RH et non les fichiers clients. Un client entreprise doit néanmoins interroger son prestataire par écrit sur l'étendue de l'incident, vérifier si des documents contractuels ou des coordonnées de contacts internes figurent dans l'archive diffusée, et documenter cette démarche au titre du suivi de ses sous-traitants prévu par l'article 28 du RGPD. Une vigilance accrue s'impose sur les demandes de changement de coordonnées bancaires ou de facturation reçues dans les semaines suivantes.

Groupe T2MC doit-elle notifier la CNIL ?

Oui, dès lors que la violation est confirmée. La présence de numéros de sécurité sociale et de copies de pièces d'identité caractérise un risque élevé pour les personnes concernées, ce qui déclenche à la fois la notification à l'autorité de contrôle sous 72 heures (article 33) et l'information individuelle des victimes (article 34). L'absence de certitude sur le nombre exact de personnes touchées ne dispense pas de notifier : le RGPD prévoit une notification initiale suivie de compléments d'information.

Comment vérifier si vos données ont été exposées ?

Commencez par tester vos adresses e-mail personnelles et professionnelles sur Have I Been Pwned, qui recense les fuites publiques connues. Exercez ensuite votre droit d'accès auprès de l'entreprise concernée : elle doit vous indiquer si vos données figurent dans la violation et lesquelles. Surveillez enfin vos comptes sensibles — banque, Assurance maladie, impôts — pendant plusieurs mois, l'exploitation des données volées intervenant souvent longtemps après leur diffusion.