RingCentral : 1,6 million de comptes volés par ShinyHunters

Les faits

RingCentral, l'une des principales plateformes de communications unifiées dans le cloud (UCaaS), a confirmé le 28 juillet 2026 avoir été victime d'une violation de données orchestrée par le groupe de cybercriminels ShinyHunters. L'incident a conduit à la compromission d'informations personnelles appartenant à environ 1,6 million de comptes utilisateurs et au vol de 623 gigaoctets de données. RingCentral a déclaré que ses services principaux n'ont pas été interrompus et que la plateforme de communications elle-même n'a pas été compromise dans son fonctionnement.

ShinyHunters est un groupe cybercriminel actif depuis au moins 2020, connu pour ses attaques d'ingénierie sociale à grande échelle ciblant les équipes de support technique ou les prestataires tiers disposant d'accès à des bases de données client. Leur approche contourne les défenses techniques traditionnelles en visant le maillon humain plutôt que les systèmes eux-mêmes. Le groupe a revendiqué des violations contre des dizaines d'entreprises majeures, dont Ticketmaster et Santander Bank.

Dans le cas RingCentral, l'attaque a été rendue possible via une campagne d'ingénierie sociale sophistiquée. Le 27 juillet 2026, ShinyHunters a revendiqué publiquement la responsabilité de l'incident et exigé le paiement d'une rançon, menaçant de publier les données volées en cas de refus. Selon la chronologie documentée par plusieurs médias spécialisés dont BleepingComputer, RingCentral avait détecté l'activité non autorisée et engagé un cabinet de forensique tiers avant même la revendication publique — ce qui explique la rapidité de la divulgation officielle, moins de 24 heures après la revendication de ShinyHunters.

Les données exposées comprennent : noms complets, adresses email, numéros de téléphone et adresses physiques pour les 1,6 million de comptes affectés. Si aucun mot de passe ni données bancaires ne figurent parmi les informations volées selon les déclarations de RingCentral, la combinaison de ces données personnelles représente un risque sérieux de spear phishing et de fraude à l'identité. Les victimes sont susceptibles de recevoir des tentatives de hameçonnage personnalisées exploitant des détails spécifiques de leur compte professionnel.

RingCentral a choisi de ne pas payer la rançon. En réponse, ShinyHunters a commencé à publier des échantillons des données volées sur des forums cybercriminels — pratique dite de "double extorsion" qui vise à exercer une pression supplémentaire et à prouver la véracité de la revendication. Ces publications ont permis à des chercheurs en sécurité de valider l'authenticité des données et de commencer à notifier les utilisateurs affectés.

L'impact dépasse le seul périmètre RingCentral. La plateforme est utilisée par des centaines de milliers d'entreprises dans le monde pour leurs communications professionnelles — appels téléphoniques, vidéoconférences, messagerie — avec des intégrations vers des outils métier comme Salesforce, Microsoft 365 ou ServiceNow. Les utilisateurs affectés sont souvent des professionnels en entreprise : responsables financiers, équipes commerciales, équipes IT. Ces profils sont à haute valeur pour les groupes spécialisés dans la compromission de messagerie professionnelle (BEC, Business Email Compromise).

La chronologie précise de l'intrusion n'a pas été entièrement divulguée. Le cabinet de forensique mandaté par l'entreprise poursuit son investigation pour établir l'étendue exacte de l'accès non autorisé. Les premiers éléments disponibles indiquent que l'attaquant a eu accès à une base de données clients avant d'être détecté, sans qu'il soit possible à ce stade de déterminer précisément la durée de l'accès non autorisé.

Pour les organisations françaises utilisant RingCentral, l'obligation de notification au titre du RGPD s'applique si des données de résidents européens ont été affectées — ce qui semble être le cas compte tenu de la portée mondiale de la plateforme. Les délégués à la protection des données (DPO) concernés devraient vérifier si leurs collaborateurs figurent parmi les comptes compromis et évaluer si une notification à la CNIL est nécessaire dans le délai légal de 72 heures suivant la prise de connaissance.

Impact et exposition

Tous les utilisateurs de RingCentral dont les données figurent dans les 623 Go exfiltrés sont exposés à des risques de phishing ciblé, d'usurpation d'identité et d'attaques BEC. Les organisations dont les équipes utilisent RingCentral doivent sensibiliser leurs collaborateurs à ce risque spécifique. Les responsables financiers et les équipes dirigeantes — profils surreprésentés parmi les utilisateurs UCaaS — sont des cibles prioritaires pour les groupes spécialisés dans la fraude au virement par usurpation d'identité.

Recommandations

• Vérifier si les emails professionnels de vos collaborateurs figurent parmi les données exposées via un service de surveillance des fuites de données
• Imposer la rotation des mots de passe RingCentral et l'activation obligatoire de la MFA sur tous les comptes actifs
• Sensibiliser les collaborateurs à une hausse attendue des tentatives de phishing personnalisées exploitant des détails RingCentral
• Renforcer les procédures de vérification pour les demandes de virement ou de modification de coordonnées bancaires (risque BEC)
• Évaluer l'obligation de notification RGPD à la CNIL si des données de résidents européens sont concernées