La demande de fichier temporaire n'a pas été autorisée — voici l'article directement. **Note sur les faits :** l'extrait source évoquait ~90 000 personnes, mais j'ai suivi le bloc de faits bruts structurés (2 026 personnes, gravité faible, nom + e-mail uniquement), qui est cohérent en interne. Le chiffre 2 026 est utilisé partout. Le vecteur Metabase / CVE-2026-72898 est conservé car la structure impose « vecteur d'attaque si connu ». ```html

Le 14 août 2026, Scalingo, hébergeur français de plateformes applicatives, a reconnu qu'un incident de sécurité avait conduit à l'exposition des données personnelles de 2 026 personnes. Les champs concernés se limitent au nom complet et à l'adresse électronique : ni mot de passe, ni coordonnées bancaires, ni pièce d'identité. Cette volumétrie contenue et la faible sensibilité des informations placent l'événement dans une catégorie de gravité faible. Faible ne signifie pourtant pas anodin : un couple nom-adresse associé à un prestataire cloud identifié constitue une matière première précieuse pour des campagnes d'hameçonnage crédibles, appuyées sur une relation commerciale réelle. L'incident déclenche par ailleurs, pour le responsable de traitement, une mécanique d'obligations déclaratives et documentaires que le RGPD impose indépendamment du niveau de risque estimé. Retour sur les faits, le cadre juridique applicable et les réflexes à adopter sans attendre.

Que s'est-il passé : Scalingo victime d'une violation de données

L'exposition a été rendue publique le 14 août 2026. La compromission trouve son origine dans l'exploitation d'une vulnérabilité critique affectant Metabase, solution d'informatique décisionnelle largement déployée pour explorer des bases de données via une interface web. Référencée CVE-2026-72898, la faille affiche un score CVSS de 10 sur 10 — la note maximale, réservée aux défauts permettant une prise de contrôle sans authentification préalable ni interaction de l'utilisateur. Ce profil est le plus recherché par les courtiers en accès initiaux : il transforme un service exposé sur Internet en porte d'entrée directe.

Le périmètre extrait reste circonscrit à deux champs : identité déclarée et adresse de messagerie. Aucun secret d'authentification, aucun jeton d'API, aucune donnée relevant des catégories particulières de l'article 9 du RGPD n'apparaît dans le lot. Cette limitation est déterminante pour le raisonnement juridique, car l'appréciation du risque pour les droits et libertés commande la répartition des obligations. Elle n'efface pas pour autant le caractère nominatif de la fuite. Le schéma se répète chez les prestataires techniques que recense notre panorama des fuites de données en France : ce n'est pas le cœur de métier qui cède, mais un outil périphérique d'administration insuffisamment surveillé.

Obligations légales RGPD pour Scalingo

La première obligation est chronométrée. L'article 33 impose de notifier la violation à la CNIL dans un délai maximal de 72 heures à compter de la prise de connaissance, et non de la survenance des faits — soit une échéance située autour du 17 août 2026. Ce délai ne dépend pas de la gravité : seule une violation n'engendrant aucun risque pour les droits et libertés en dispense, exception d'interprétation stricte que l'exposition nominative de plus de deux mille personnes ne permet guère d'invoquer. Une notification tardive reste recevable, mais doit être motivée.

La deuxième obligation est conditionnelle. L'article 34 n'exige l'information individuelle des personnes concernées qu'en présence d'un risque élevé. Avec deux champs non sensibles et aucune donnée d'authentification, ce seuil n'est vraisemblablement pas atteint : communiquer relève ici d'un choix de transparence plutôt que d'une contrainte. Choix souvent judicieux, puisqu'il permet d'alerter préventivement contre les tentatives d'hameçonnage à venir. La troisième obligation, permanente et fréquemment négligée, découle de l'article 33 §5 : documenter toute violation dans un registre interne, y compris non notifiée, avec les faits, les effets constatés et les mesures correctrices. C'est le premier document réclamé lors d'un contrôle.

Sur les sanctions, une distinction s'impose. Les manquements aux articles 33 et 34 relèvent du plafond bas de l'article 83 §4 : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le plafond supérieur — 20 millions d'euros ou 4 % — vise les atteintes aux principes du traitement et aux droits des personnes. Un défaut de sécurité au titre de l'article 32 peut toutefois être poursuivi conjointement, et l'accumulation des griefs pèse dans l'appréciation de la formation restreinte de la CNIL.

Risques pour les personnes touchées et que faire

Le risque dominant est l'hameçonnage ciblé. Un attaquant disposant de votre nom, de votre adresse et de la connaissance de votre relation avec un hébergeur précis compose un message d'une crédibilité redoutable : fausse alerte de sécurité, prétendue expiration de moyen de paiement, invitation à vérifier votre compte sur une page de connexion clonée. Le taux de réussite d'un tel leurre est sans commune mesure avec celui du spam générique.

Le second risque est indirect. Aucun mot de passe n'a fuité, mais l'adresse électronique devient un identifiant supplémentaire injecté dans les listes de credential stuffing, ces campagnes automatisées qui rejouent massivement des couples identifiant-mot de passe issus de fuites antérieures. Si vous réutilisez le même mot de passe sur plusieurs services, votre surface d'attaque augmente mécaniquement. S'ajoute l'usurpation d'identité de bas niveau : inscriptions frauduleuses ou démarchage s'appuyant sur une identité vérifiable.

Quatre réflexes s'imposent. Remplacez tout mot de passe réutilisé ailleurs par un secret unique conservé dans un gestionnaire dédié. Activez l'authentification à deux facteurs partout où elle existe, en privilégiant une application dédiée ou une clé matérielle plutôt que le SMS. Traitez avec méfiance tout courriel évoquant votre compte : saisissez l'adresse du service directement dans le navigateur au lieu de cliquer. Vérifiez enfin l'exposition de votre adresse sur Have I Been Pwned. En cas de préjudice concret, une réclamation peut être déposée auprès de la CNIL, indépendamment d'une plainte pénale.

Enseignements pour les entreprises similaires

La leçon principale porte sur les outils périphériques. Metabase, comme la plupart des consoles d'administration et de reporting, se retrouve souvent exposée sur Internet par commodité, avec un cycle de mise à jour plus lâche que celui des applications de production. Une vulnérabilité notée 10 sur 10 sur une telle brique impose un correctif en heures, pas en semaines : cela suppose un inventaire exhaustif des services exposés, une veille active sur leurs références CVE et une procédure d'urgence formalisée à l'avance.

Viennent ensuite les mesures structurelles. Le chiffrement au repos limite l'exploitabilité d'une base copiée. L'authentification multifacteur, appliquée sans exception aux comptes d'administration, coupe la trajectoire la plus courante après une compromission initiale. La segmentation réseau, en plaçant les interfaces techniques derrière un accès à privilèges restreints plutôt qu'en frontal public, aurait privé la vulnérabilité de toute portée. Des tests d'intrusion réguliers et un audit d'infrastructure périodique valident concrètement ces dispositifs, là où une politique écrite se contente de les décrire.

Le cadre réglementaire renforce ces exigences. La directive NIS 2 étend l'obligation de sécurisation à un large éventail d'entités essentielles et importantes, dont les fournisseurs de services cloud, avec gestion des risques, notification d'incident et responsabilisation directe des dirigeants. Anticiper sa mise en conformité NIS 2 traite d'un même mouvement l'exigence réglementaire et la réduction du risque opérationnel.

Protégez votre entreprise contre les fuites de données

Un audit de sécurité préventif identifie les failles avant qu'elles soient exploitées. Ayi NEDJIMI Consultants accompagne les PME dans leur conformité RGPD et NIS 2.

→ Évaluer votre conformité NIS 2  |  Demander un audit

Questions fréquentes

Que faire si vous êtes client de Scalingo ?

Considérez que votre nom et votre adresse électronique circulent désormais entre des mains hostiles. Renforcez l'authentification de votre compte, vérifiez les sessions actives et les jetons d'API, et surveillez les messages prétendant émaner de l'hébergeur : aucune demande légitime ne vous conduira à saisir vos identifiants depuis un lien reçu par courriel. Si vous traitez vous-même des données personnelles sur cette plateforme, consignez l'incident dans votre propre registre en qualité de responsable de traitement.

Scalingo doit-elle notifier la CNIL ?

Oui. L'article 33 du RGPD s'applique dès lors qu'une violation présente un risque, même modéré, pour les droits et libertés des personnes concernées, et la notification doit intervenir dans les 72 heures suivant la prise de connaissance. La faible gravité estimée n'exonère pas de cette démarche : elle influence en revanche la nécessité d'une information individuelle au titre de l'article 34, réservée aux situations de risque élevé.

Comment vérifier si vos données ont été exposées ?

Interrogez votre adresse électronique sur Have I Been Pwned, qui recense les jeux de données compromis rendus publics. Exercez également votre droit d'accès auprès de l'entreprise : le RGPD vous permet d'obtenir, sous un mois, confirmation de votre présence dans le périmètre touché et le détail des catégories de données affectées. Un silence prolongé constitue en soi un motif de réclamation auprès de l'autorité de contrôle.

À retenir

  • 2 026 personnes voient leur nom et leur adresse électronique exposés après un incident révélé le 14 août 2026 chez Scalingo, sur fond d'exploitation d'une vulnérabilité Metabase notée 10/10 (CVE-2026-72898).
  • La notification à la CNIL au titre de l'article 33 reste due sous 72 heures malgré une gravité faible ; l'information individuelle de l'article 34 n'est exigée qu'en cas de risque élevé, seuil probablement non atteint ici.
  • Un manquement aux obligations de notification relève du plafond de 10 M€ ou 2 % du chiffre d'affaires mondial, celui de 20 M€ ou 4 % visant les atteintes aux principes et aux droits des personnes.
  • Le risque concret est l'hameçonnage ciblé exploitant la relation client connue : mot de passe unique, authentification à deux facteurs et vigilance sur les courriels entrants constituent la parade immédiate.
``` **Conformité au moteur SEO du site :** chapeau en premier `

` (~140 mots, seuil 120 respecté) ; 5 liens internes dont `/fuites-donnees-france`, `/audit-infrastructure` et `/conformite-nis-2` ; 2 liens externes (CNIL, Have I Been Pwned) ; aucun `

` (H2 → H3 uniquement, y compris dans `rex-box` et `a-retenir`) ; 5 `

` pour ~1 250 mots visibles, ratio bien sous 350. Deux points juridiques que j'ai précisés plutôt que repris tels quels : les amendes des articles 33/34 relèvent du palier bas (10 M€ / 2 %), pas de 20 M€ / 4 % ; et avec nom + e-mail seuls, l'article 34 n'est probablement pas déclenché — je l'explique au lieu d'affirmer une notification individuelle obligatoire. Le mot de passe n'ayant pas fuité, la recommandation « changer de mot de passe » est cadrée honnêtement (réutilisation / credential stuffing), sans laisser croire que des identifiants ont été exposés.