Fuite de données HeyPulse : 2 026 personnes exposées

La plateforme française HeyPulse fait l'objet, depuis le 11 août 2026, d'une revendication de compromission publiée sur un forum cybercriminel par un utilisateur opérant sous le pseudonyme slvsh3r. Selon cette publication, l'attaquant présumé aurait exfiltré l'intégralité de la base de données de ce service B2B de gamification marketing, destiné aux commerces qui cherchent à développer leurs avis Google et leur visibilité locale, ainsi que le code source applicatif. Les données prétendument dérobées concerneraient environ 2 026 personnes et comprendraient des adresses email, des mots de passe, l'historique des commandes et l'ensemble des enregistrements clients. À ce stade, aucune confirmation officielle n'a été communiquée par l'éditeur. Si les faits se vérifiaient, la gravité serait critique : la combinaison d'identifiants de connexion et de données transactionnelles ouvre la voie à des campagnes de phishing extrêmement crédibles et à des attaques par bourrage d'identifiants sur d'autres services. Cet épisode s'ajoute à la longue série de fuites de données touchant des entreprises françaises, et rappelle qu'un prestataire de taille modeste peut devenir le maillon faible d'un écosystème commercial entier.

Que s'est-il passé : HeyPulse victime d'une violation de données

La chronologie connue reste courte. Le 11 août 2026, une annonce apparaît sur un forum spécialisé dans la revente de données volées. Son auteur affirme détenir à la fois le dump de la base de données de HeyPulse.fr et le code source de la plateforme. Ce double butin est caractéristique des compromissions dites « complètes », où l'attaquant obtient un accès privilégié au serveur applicatif plutôt qu'une simple injection ponctuelle.

Le vecteur d'intrusion n'a pas été précisé publiquement. Les scénarios les plus fréquents pour ce type de plateforme SaaS restent l'exploitation d'une vulnérabilité applicative non corrigée, la compromission d'un accès d'administration insuffisamment protégé, ou la fuite de secrets dans un dépôt de code mal cloisonné. La revendication portant simultanément sur le code source penche plutôt vers cette dernière hypothèse ou vers un accès serveur direct.

La sensibilité du lot annoncé tient moins au volume — environ deux mille personnes — qu'à sa nature. Un couple email/mot de passe constitue une clé réutilisable. L'historique de commandes, lui, révèle des informations commerciales sur les clients professionnels : volume d'activité, coordonnées de facturation, habitudes d'achat. La divulgation du code source aggraverait encore la situation, en fournissant à d'autres attaquants une cartographie des failles résiduelles de la plateforme.

Obligations légales RGPD pour HeyPulse

Si la compromission est confirmée, le RGPD impose au responsable de traitement une séquence stricte. L'article 33 fixe un délai de 72 heures à compter de la prise de connaissance de la violation pour notifier la CNIL. Cette notification doit décrire la nature de l'incident, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises pour y remédier. Un dépassement du délai n'exonère pas de l'obligation : il faut alors motiver le retard.

L'article 34 ajoute une obligation d'information directe des personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. La présence de mots de passe dans le lot revendiqué place mécaniquement l'incident dans cette catégorie, sauf à démontrer que ces mots de passe étaient protégés par un algorithme de hachage robuste et salé. Cette information doit être formulée en termes clairs, sans jargon technique, et préciser les mesures correctrices recommandées.

L'article 33, paragraphe 5, impose par ailleurs de documenter toute violation dans un registre interne, y compris celles qui ne sont pas notifiées. Ce registre constitue le premier document réclamé par la CNIL en cas de contrôle. Les sanctions encourues atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour un manquement aux obligations de notification et de sécurité, et jusqu'à 20 millions d'euros ou 4 % en cas de violation des principes fondamentaux du traitement. Dans la pratique, l'autorité module ses décisions selon la coopération de l'entreprise et l'antériorité de ses mesures de sécurité.

Risques pour les personnes touchées et que faire

Trois risques dominent pour les personnes figurant dans un tel jeu de données. Le premier est le phishing ciblé : un attaquant qui connaît vos commandes récentes et votre identifiant peut rédiger un message d'apparence irréprochable, imitant une relance de facturation ou une alerte de sécurité. Le deuxième est le credential stuffing, qui consiste à rejouer automatiquement le couple email/mot de passe volé sur des dizaines d'autres services. Le troisième, plus lent, est l'usurpation d'identité professionnelle, alimentée par les données de facturation.

Les réflexes à adopter sont simples mais doivent être appliqués sans délai. Changez immédiatement le mot de passe utilisé sur la plateforme concernée, et surtout partout où il a été réemployé. Activez l'authentification à deux facteurs sur vos comptes de messagerie et vos accès bancaires en priorité. Surveillez pendant plusieurs mois les tentatives de connexion inhabituelles et les demandes de réinitialisation que vous n'avez pas initiées. Vérifiez enfin votre exposition sur Have I Been Pwned, qui recense les fuites publiquement diffusées. En cas de préjudice constaté, une plainte peut être déposée auprès de la CNIL, et un dépôt de plainte pénale reste possible pour les faits d'usurpation.

Enseignements pour les entreprises similaires

Les plateformes SaaS de petite taille concentrent souvent un volume de données disproportionné par rapport à leurs moyens de défense. Quelques mesures changent radicalement le rapport de force. Le chiffrement au repos des bases de données et le hachage des mots de passe avec un algorithme moderne, de type Argon2 ou bcrypt, transforment un dump exploitable en fichier largement inerte. L'authentification multifacteur généralisée sur les comptes d'administration ferme le vecteur d'intrusion le plus courant.

La segmentation réseau limite ensuite la propagation : un serveur applicatif compromis ne doit pas donner accès aux sauvegardes ni au dépôt de code. Des tests d'intrusion réguliers, complétés par un audit d'infrastructure annuel, permettent d'identifier les failles avant qu'elles ne soient exploitées. Enfin, la directive NIS 2 étend désormais les obligations de sécurité à un périmètre bien plus large d'entités, y compris de nombreuses PME du numérique : anticiper sa mise en conformité NIS 2 revient à structurer une gouvernance qui protège aussi du risque RGPD.

Questions fréquentes

Que faire si vous êtes client de HeyPulse ?

Modifiez sans attendre votre mot de passe sur la plateforme, puis sur tout autre service où le même mot de passe a été réutilisé. Activez la double authentification là où elle est disponible. Restez vigilant face aux emails mentionnant vos commandes passées : ce type de détail est précisément ce qui rend une tentative de fraude convaincante. Aucune société légitime ne vous demandera vos identifiants par message.

HeyPulse doit-elle notifier la CNIL ?

Oui, dès lors que la violation est avérée et présente un risque pour les droits et libertés des personnes concernées. Le délai est de 72 heures après la prise de connaissance des faits. Compte tenu de la présence annoncée de mots de passe, une information directe des personnes touchées au titre de l'article 34 paraît également requise.

Comment vérifier si vos données ont été exposées ?

Interrogez votre adresse email sur Have I Been Pwned, qui indique dans quelles fuites publiques elle apparaît. Vous pouvez aussi exercer votre droit d'accès auprès de l'entreprise concernée : celle-ci doit vous préciser si vos données figurent parmi celles affectées. Consultez enfin le recensement des violations de données en France pour suivre l'évolution du dossier.