Checkmarx fuité par Lapsus$ : code source et MongoDB

Ce qui s'est passé

Le 25 avril 2026, à 21h11 UTC+3, l'observatoire ThreatMon a détecté l'apparition de Checkmarx sur le portail de fuites de Lapsus$. Le groupe d'extorsion affirme avoir exfiltré un volume substantiel de données sensibles : le code source de plusieurs produits, une base de données employés, des clés API ainsi que des identifiants stockés dans des instances MongoDB et MySQL. Rapidement relayée par la communauté threat intelligence sous l'intitulé « checkmarx lapsus fuite », la revendication n'a, à ce stade, fait l'objet d'aucune confirmation publique de l'éditeur, spécialiste reconnu de l'analyse statique de code (SAST). L'enjeu dépasse le seul périmètre de l'entreprise : un fournisseur de sécurité applicative concentre les dépôts et les secrets de ses clients, ce qui expose potentiellement toute une chaîne logicielle à un risque d'attaque en cascade.

Selon les premiers éléments publiés par Socket et BleepingComputer, Lapsus$ collabore désormais avec TeamPCP, le collectif déjà responsable de la compromission de deux workflows GitHub Actions de Checkmarx en mars 2026. Cette deuxième vague d'attaque marque donc une escalade : après le supply chain via les outils, c'est l'infrastructure interne de l'éditeur qui aurait été pénétrée. Checkmarx n'a pas confirmé publiquement le vol au moment de la rédaction, mais les échantillons publiés sur le portail dark web suggèrent un accès profond aux référentiels internes.

L'incident est d'autant plus sensible que Checkmarx fournit ses solutions à des grandes entreprises et institutions financières du monde entier. La fuite de credentials MongoDB et MySQL ouvre la porte à des mouvements latéraux vers les infrastructures clients, notamment ceux qui utilisent les SaaS Checkmarx One ou les extensions VS Code récemment modifiées.

Pourquoi c'est important

Cette compromission illustre le paradoxe de la chaîne de confiance dans le DevSecOps : un éditeur dont la mission est de scanner du code à la recherche de vulnérabilités devient lui-même un vecteur de propagation. Les images Docker KICS distribuées entre le 22 avril 14h17 UTC et 15h41 UTC contenaient déjà du code malveillant, et plusieurs équipes les ont intégrées à leur pipeline CI/CD avant la détection. Le risque réel pour les clients dépasse donc largement la simple fuite de données interne.

Pour les entreprises françaises soumises à NIS2 ou DORA, l'usage d'un fournisseur SCA (Software Composition Analysis) compromis peut déclencher des obligations de notification dans les 24 à 72 heures. Les responsables sécurité doivent immédiatement cartographier l'exposition à Checkmarx One, KICS et aux extensions VS Code Checkmarx, puis bloquer les versions suspectes en attendant une communication officielle de l'éditeur.

Ce qu'il faut retenir

• Lapsus$ revendique le vol du code source Checkmarx, de la base employés, de clés API et de credentials MongoDB et MySQL.
• L'attaque s'inscrit dans une campagne plus large incluant la compromission de KICS sur Docker Hub et des extensions VS Code Open VSX.
• Les équipes sécurité doivent geler les déploiements Checkmarx jusqu'à clarification, rotater toutes les clés API et auditer les artefacts produits depuis le 22 avril.

Lapsus$ n'en est pas à son coup d'essai en matière d'extorsion de données sensibles chez des acteurs technologiques majeurs. Le collectif s'était fait connaître en 2022 en revendiquant des intrusions chez Okta, Microsoft, Nvidia, Samsung et Uber, souvent via des techniques d'ingénierie sociale ciblant des employés ou des sous-traitants plutôt que des exploits techniques sophistiqués. Le retour du groupe en 2026, cette fois en coopération avec TeamPCP sur un éditeur de sécurité applicative, marque une évolution notable : la cible n'est plus une entreprise technologique généraliste mais un maillon critique de la chaîne DevSecOps utilisée par des milliers d'organisations pour scanner leur propre code.

Ce choix de cible n'est pas anodin. Compromettre un éditeur de solutions SAST/SCA permet potentiellement d'obtenir une vue d'ensemble des vulnérabilités non corrigées chez ses clients, ou d'empoisonner les résultats d'analyse pour masquer l'introduction de code malveillant en amont. C'est ce même schéma qui avait rendu l'attaque SolarWinds si dévastatrice en 2020 : la confiance accordée par défaut aux outils de la chaîne de développement devient elle-même le vecteur d'attaque. Plusieurs chercheurs en sécurité, dont ceux de Socket, soulignent que la répétition de compromissions chez Checkmarx en l'espace de quelques semaines — d'abord les workflows GitHub Actions, puis les images Docker KICS, puis l'infrastructure interne — suggère soit une persistance non détectée des attaquants dans l'environnement de l'éditeur, soit une exploitation en cascade d'une faille initiale non totalement remédiée.

Un signal d'alerte pour tout l'écosystème DevSecOps

L'incident s'inscrit dans une tendance de fond observée depuis 2024 : les attaques ciblant les outils de développement et de sécurité (gestionnaires de paquets, registries de conteneurs, extensions IDE) progressent plus vite que celles visant directement les applications finales, précisément parce qu'elles offrent un effet de levier disproportionné. Un seul artefact compromis distribué via un registre officiel peut atteindre des milliers de pipelines CI/CD en quelques heures, sans qu'aucune alerte périmétrique classique ne se déclenche — les équipes font par définition confiance aux outils qu'elles ont elles-mêmes choisis pour renforcer leur sécurité.

Pour les responsables sécurité, l'affaire Checkmarx illustre pourquoi la vérification d'intégrité des dépendances (signatures, Software Bill of Materials, hachages de référence) ne peut plus se limiter aux bibliothèques applicatives : elle doit désormais couvrir l'ensemble de la chaîne d'outillage, y compris les solutions de sécurité elles-mêmes. Un audit des accès accordés aux extensions VS Code et aux images Docker tierces installées dans les environnements de build fait partie des premières mesures recommandées, indépendamment de la confirmation officielle de Checkmarx sur l'étendue exacte de la fuite.