Fuite de données Questel SAS : 21.0 millions de personnes exposées

Le 2 août 2026, le groupe cybercriminel ShinyHunters a inscrit Questel SAS sur son site de divulgation, affirmant détenir plus de 21 millions d'enregistrements extraits de l'environnement Salesforce de l'entreprise, ainsi qu'un volume massif de documents internes. Spécialiste français de la propriété intellectuelle, de la gestion de portefeuilles de brevets et de marques, Questel traite pour le compte de milliers de clients des informations à forte valeur stratégique : identités de déposants, coordonnées professionnelles, échanges contractuels, calendriers de dépôt. Si la revendication se confirme, l'incident constituerait l'une des violations de données les plus étendues jamais observées dans le secteur des services aux entreprises en France. Au-delà du volume brut, c'est la nature des données concernées qui inquiète : croisées avec des informations publiques, elles offrent aux attaquants un matériau idéal pour des campagnes d'ingénierie sociale d'une précision redoutable. Les personnes physiques dont les coordonnées figurent dans ces bases sont directement exposées, et le Règlement général sur la protection des données impose au responsable de traitement une série d'obligations dont les délais se comptent en heures.

Que s'est-il passé : Questel SAS victime d'une violation de données

La publication apparue début août sur l'infrastructure de fuite de ShinyHunters décrit une compromission de l'environnement cloud de Questel, avec exfiltration d'une base Salesforce comptant environ 21 millions de lignes et d'une archive de fichiers internes évaluée à 147 gigaoctets. Le mode opératoire décrit correspond à celui que le groupe applique depuis plusieurs mois contre des utilisateurs de plateformes SaaS : détournement de jetons OAuth, abus d'applications tierces connectées ou hameçonnage vocal visant les administrateurs, plutôt qu'exploitation d'une faille logicielle de l'éditeur lui-même. Cette approche contourne les protections périmétriques classiques puisque l'attaquant se présente avec des identifiants légitimes.

Les enregistrements d'un CRM contiennent typiquement des noms, fonctions, adresses électroniques professionnelles, numéros de téléphone directs, historiques d'échanges commerciaux et notes de relation client. À cela s'ajouteraient des documents internes susceptibles de révéler des dossiers de propriété industrielle non encore publiés. Aucune donnée bancaire ni catégorie sensible au sens de l'article 9 du RGPD n'a été mentionnée à ce stade. Il convient de rappeler qu'une revendication de groupe cybercriminel n'a pas valeur de preuve tant qu'une confirmation officielle ou une analyse indépendante des échantillons n'a pas eu lieu ; la prudence s'impose sur les volumes annoncés, souvent gonflés par les attaquants pour maximiser la pression.

Obligations légales RGPD pour Questel SAS

Dès la prise de connaissance d'une violation, l'article 33 du RGPD impose au responsable de traitement de notifier l'autorité de contrôle compétente — la CNIL pour un établissement principal français — dans un délai maximal de 72 heures. La notification doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou envisagées. Un dépassement du délai n'exonère pas de l'obligation : il doit être accompagné d'une justification motivée. Une notification en plusieurs phases est admise lorsque l'investigation forensique est encore en cours.

Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, l'article 34 ajoute une obligation d'information individuelle, formulée en termes clairs et simples. L'ampleur revendiquée ici rend cette hypothèse très probable. En parallèle, l'article 33 §5 exige la tenue d'un registre interne documentant toute violation, y compris celles non notifiées, avec les faits, les effets et les mesures correctrices — document que la CNIL exige systématiquement lors d'un contrôle.

Sur le plan répressif, l'échelle de sanction applicable aux manquements aux articles 32 à 34 atteint 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Un manquement aux principes fondamentaux ou aux droits des personnes relève du plafond supérieur : 20 millions d'euros ou 4 % du chiffre d'affaires. S'y ajoute le risque d'actions civiles au titre de l'article 82, y compris sous forme d'actions de groupe.

Risques pour les personnes touchées et que faire

Le danger immédiat n'est pas financier mais relationnel. Un attaquant disposant du nom d'un chargé de portefeuille, de son interlocuteur chez le prestataire et de la référence d'un dossier en cours peut construire un courriel de spear phishing quasiment indétectable, ou un appel frauduleux invoquant un contexte vérifiable. Les fraudes au faux fournisseur et au changement de coordonnées bancaires exploitent exactement ce type de matériau. S'ajoutent le credential stuffing, si des adresses professionnelles ont été réutilisées avec des mots de passe compromis ailleurs, et l'usurpation d'identité professionnelle sur les réseaux sociaux.

Concrètement : modifiez sans attendre les mots de passe des comptes associés à votre adresse professionnelle, en proscrivant toute réutilisation, et activez l'authentification multifacteur partout où elle est disponible, en privilégiant une application d'authentification ou une clé physique plutôt que le SMS. Vérifiez l'exposition de vos adresses sur Have I Been Pwned. Instaurez une règle interne de double validation orale pour tout changement de coordonnées bancaires. Enfin, si vous subissez un préjudice ou si le responsable de traitement reste silencieux, vous pouvez exercer votre droit d'accès puis déposer une plainte auprès de la CNIL, et déposer plainte pénalement en cas de fraude aboutie.

Enseignements pour les entreprises similaires

Cet incident illustre un angle mort persistant : la sécurité des environnements SaaS et des intégrations tierces. Le premier réflexe consiste à inventorier les applications connectées à vos CRM et outils collaboratifs, à révoquer les jetons OAuth dormants et à restreindre les autorisations d'export massif à un nombre minimal de comptes nommés. L'authentification multifacteur résistante au hameçonnage doit couvrir en priorité les administrateurs. La journalisation des volumes de requêtes API, avec alerte sur les extractions anormales, transforme une exfiltration silencieuse en incident détectable en quelques minutes.

Côté infrastructure, le chiffrement au repos, la segmentation réseau et le cloisonnement des environnements limitent la propagation latérale. Des tests d'intrusion réguliers, incluant un volet ingénierie sociale, mesurent la résistance réelle des équipes support — cible privilégiée des groupes pratiquant le vishing. Les entités relevant de la directive NIS 2 doivent par ailleurs articuler ces mesures avec leurs obligations de gestion des risques et de notification en 24 heures à l'ANSSI, distinctes et cumulatives avec le RGPD. Un suivi des incidents comparables sur notre panorama des fuites de données en France aide à calibrer ces priorités.

Questions fréquentes

Que faire si vous êtes client de Questel SAS ?

Sollicitez par écrit votre interlocuteur pour savoir si vos données figurent dans le périmètre compromis et demandez communication des mesures prises. Parallèlement, alertez vos équipes comptables et commerciales du risque accru de fraude par courriel, renforcez l'authentification des comptes utilisant les adresses concernées et conservez la trace écrite de vos démarches : elle sera utile en cas de litige ou de demande d'indemnisation.

Questel SAS doit-elle notifier la CNIL ?

Oui, dès lors que la violation est avérée et présente un risque pour les personnes concernées, la notification à la CNIL sous 72 heures est obligatoire au titre de l'article 33. L'ampleur revendiquée rend également très probable le déclenchement de l'article 34, c'est-à-dire l'information directe des personnes concernées. L'absence de notification, si la violation est confirmée, constituerait en soi un manquement sanctionnable indépendamment de la faute de sécurité initiale.

Comment vérifier si vos données ont été exposées ?

Interrogez le service Have I Been Pwned avec vos adresses électroniques professionnelles et personnelles, et activez ses notifications automatiques. Exercez ensuite votre droit d'accès auprès de l'entreprise concernée : elle doit vous répondre sous un mois. Méfiez-vous des sites tiers proposant de « rechercher dans la fuite » en échange de données personnelles, souvent eux-mêmes malveillants.