Lapsus$ a publié sur son portail dark web le vol du code source, de la base employés et des credentials MongoDB/MySQL de Checkmarx, deuxième attaque en deux mois.
En bref
- Le groupe Lapsus$ revendique le vol du code source, de la base employés et de credentials MongoDB et MySQL chez Checkmarx.
- L'éditeur israélien spécialisé en sécurité applicative subit sa deuxième compromission majeure en deux mois.
- Les clients utilisant KICS, Docker Hub officiel ou les extensions VS Code doivent vérifier leurs artefacts récents.
Ce qui s'est passé
Le 25 avril 2026 à 21h11 UTC+3, l'observatoire ThreatMon a détecté l'apparition de Checkmarx sur le portail de fuites de Lapsus$. Le groupe d'extorsion affirme avoir exfiltré une quantité substantielle de matériel sensible : code source de plusieurs produits, base de données employés, clés API et credentials stockés dans des instances MongoDB et MySQL. La revendication intervient quelques jours seulement après la compromission du dépôt Docker Hub officiel des images KICS, l'outil d'analyse infrastructure-as-code phare de l'éditeur.
Selon les premiers éléments publiés par Socket et BleepingComputer, Lapsus$ collabore désormais avec TeamPCP, le collectif déjà responsable de la compromission de deux workflows GitHub Actions de Checkmarx en mars 2026. Cette deuxième vague d'attaque marque donc une escalade : après le supply chain via les outils, c'est l'infrastructure interne de l'éditeur qui aurait été pénétrée. Checkmarx n'a pas confirmé publiquement le vol au moment de la rédaction, mais les échantillons publiés sur le portail dark web suggèrent un accès profond aux référentiels internes.
L'incident est d'autant plus sensible que Checkmarx fournit ses solutions à des grandes entreprises et institutions financières du monde entier. La fuite de credentials MongoDB et MySQL ouvre la porte à des mouvements latéraux vers les infrastructures clients, notamment ceux qui utilisent les SaaS Checkmarx One ou les extensions VS Code récemment modifiées.
Pourquoi c'est important
Cette compromission illustre le paradoxe de la chaîne de confiance dans le DevSecOps : un éditeur dont la mission est de scanner du code à la recherche de vulnérabilités devient lui-même un vecteur de propagation. Les images Docker KICS distribuées entre le 22 avril 14h17 UTC et 15h41 UTC contenaient déjà du code malveillant, et plusieurs équipes les ont intégrées à leur pipeline CI/CD avant la détection. Le risque réel pour les clients dépasse donc largement la simple fuite de données interne.
Pour les entreprises françaises soumises à NIS2 ou DORA, l'usage d'un fournisseur SCA (Software Composition Analysis) compromis peut déclencher des obligations de notification dans les 24 à 72 heures. Les responsables sécurité doivent immédiatement cartographier l'exposition à Checkmarx One, KICS et aux extensions VS Code Checkmarx, puis bloquer les versions suspectes en attendant une communication officielle de l'éditeur.
Ce qu'il faut retenir
- Lapsus$ revendique le vol du code source Checkmarx, de la base employés, de clés API et de credentials MongoDB et MySQL.
- L'attaque s'inscrit dans une campagne plus large incluant la compromission de KICS sur Docker Hub et des extensions VS Code Open VSX.
- Les équipes sécurité doivent geler les déploiements Checkmarx jusqu'à clarification, rotater toutes les clés API et auditer les artefacts produits depuis le 22 avril.
Comment vérifier si nos pipelines ont consommé une image KICS compromise ?
Inspectez les logs de votre registre privé et les hash sha256 des images checkmarx/kics tirées entre le 22 avril 14h17 et 15h41 UTC. Comparez-les aux empreintes publiées par Socket et Checkmarx, et purgez les caches Docker, GitHub Actions et runners auto-hébergés qui auraient pu mettre l'image en cache.
Besoin d'un accompagnement expert ?
Ayi NEDJIMI vous accompagne sur vos projets cybersécurité et IA.
Prendre contactÀ propos de l'auteur
Ayi NEDJIMI
Auditeur Senior Cybersécurité & Consultant IA
Expert Judiciaire — Cour d'Appel de Paris
Habilitation Confidentiel Défense
ayi@ayinedjimi-consultants.fr
Ayi NEDJIMI est un vétéran de la cybersécurité avec plus de 25 ans d'expérience sur des missions critiques. Ancien développeur Microsoft à Redmond sur le module GINA (Windows NT4) et co-auteur de la version française du guide de sécurité Windows NT4 pour la NSA.
À la tête d'Ayi NEDJIMI Consultants, il réalise des audits Lead Auditor ISO 42001 et ISO 27001, des pentests d'infrastructures critiques, du forensics et des missions de conformité NIS2 / AI Act.
Conférencier international (Europe & US), il a formé plus de 10 000 professionnels.
Domaines d'expertise
Ressources & Outils de l'auteur
Articles connexes
Litecoin : zero-day MWEB, reorg de 13 blocs en urgence
Une faille zero-day dans MimbleWimble Extension Block a forcé Litecoin à un reorg de 13 blocs après injection de transactions malformées sur les pools de minage.
PhantomRPC : Windows RPC élève au SYSTEM, pas de patch
Kaspersky dévoile PhantomRPC, une faille architecturale du runtime RPC Windows qui élève au SYSTEM sur toutes les versions, sans correctif Microsoft prévu.
FIRESTARTER : APT persistant sur les pare-feu Cisco ASA
CISA et le NCSC britannique alertent sur FIRESTARTER, un implant déployé par l'APT UAT-4356 sur les pare-feu Cisco ASA et Firepower. Le malware survit aux patchs et aux reboots logiciels.
Commentaires
Aucun commentaire pour le moment. Soyez le premier à commenter !
Laisser un commentaire