Questel : ShinyHunters compromet 147 Go via vishing Microsoft 365

Les faits

Le 1er août 2026, le groupe de cybercriminels ShinyHunters a ajouté Questel SAS à son site de publication de données volées, affirmant détenir plus de 21 millions de records Salesforce ainsi que 147 Go de données internes de l'entreprise. Questel, société française spécialisée dans les services de propriété intellectuelle (dépôt de brevets, marques, gestion de portefeuilles IP), a confirmé la brèche dans un communiqué officiel, tout en contestant certains éléments de la revendication.

L'attaque initiale aurait reposé sur du vishing — du voice phishing, ou hameçonnage vocal. Un ou plusieurs employés de Questel ont reçu des appels téléphoniques d'attaquants se faisant passer pour du support informatique ou pour Microsoft, les incitant à fournir leurs identifiants ou à accorder des accès distants à leurs systèmes. Cette technique, popularisée par des groupes comme Scattered Spider et désormais utilisée à grande échelle par ShinyHunters, contourne efficacement les défenses techniques classiques en exploitant le maillon humain.

Questel a précisé dans sa déclaration : "Nous avons récemment identifié un accès non autorisé à une partie de notre environnement Microsoft 365, spécifiquement un environnement SharePoint Sales, à la suite d'une tentative de vishing." La société indique mener "une analyse forensique détaillée du matériel publié" et conteste le chiffre de 21 millions de records ainsi que la description initiale de "données Salesforce" par ShinyHunters — l'accès confirmé concerne un SharePoint, pas un CRM Salesforce.

ShinyHunters avait fixé un ultimatum à Questel : prendre contact avant le 4 août 2026, faute de quoi les données seraient rendues publiques. Questel n'ayant pas répondu aux conditions du groupe, les données ont effectivement été publiées sur le site de leaks, selon les informations disponibles. ShinyHunters a également revendiqué lors de la même période des attaques contre Alcon et Lumenis, deux sociétés du secteur médical.

ShinyHunters est un groupe prolifique et bien documenté. Apparu en 2020 avec des vols de bases de données massives (Tokopedia, Wattpad, Pixlr), le groupe a évolué vers des techniques plus sophistiquées d'ingénierie sociale. En 2024, il avait revendiqué le vol de données chez Ticketmaster (560 millions de clients) et Santander Bank. En 2025 et 2026, le groupe a adopté systématiquement le vishing et les attaques via des prestataires de support IT pour contourner les solutions MFA, dans la lignée des tactiques de Scattered Spider.

Pour Questel, l'impact va au-delà de la violation de données elle-même. La société gère des portefeuilles de propriété intellectuelle pour des entreprises du monde entier — brevets, marques, droits d'auteur. Les données clients d'une telle organisation ont une valeur stratégique considérable : elles peuvent révéler des stratégies d'innovation, des pipelines de produits, des dépôts de brevets futurs. Des acteurs étatiques ou des concurrents industriels pourraient être intéressés par ce type d'information bien au-delà de la simple valeur marchande des données personnelles.

L'incident illustre une fois de plus la fragilité de l'environnement Microsoft 365 face aux attaques d'ingénierie sociale avancées. Même avec du MFA activé, le vishing peut contourner la protection si l'attaquant convainc la victime d'approuver une notification MFA en temps réel (attaque dite "MFA fatigue" ou "real-time phishing"). Des techniques comme les proxy de phishing en temps réel (Evilginx, Modlishka) ou le simple vishing avec urgence fabriquée permettent d'obtenir des tokens de session valides sans avoir besoin du second facteur.

Le cas Questel fait écho à une série d'incidents similaires en 2025-2026 : Twilio (2025, vishing SMS), MGM Resorts (2025, vishing helpdesk), et ReliaQuest (2026, ingénierie sociale). Dans tous ces cas, le vecteur initial était humain, non technique. La sophistication croissante des attaquants dans l'exploitation de la psychologie humaine rend les défenses purement techniques de plus en plus insuffisantes.

Impact et exposition

Les organisations les plus exposées à ce type d'attaque sont celles dont les équipes de support IT ou helpdesk ne disposent pas de procédures strictes de vérification d'identité avant tout accès aux systèmes. Les environnements Microsoft 365 avec des accès SharePoint peu segmentés et des permissions larges sur les documents commerciaux sont particulièrement vulnérables si un compte est compromis via vishing.

Pour les clients de Questel, une vigilance accrue est recommandée : surveiller toute utilisation anormale de leurs informations de propriété intellectuelle, alerter leurs équipes juridiques, et vérifier si leurs données de brevets ou de marques apparaissent dans des contextes inappropriés.

Recommandations

• Former les équipes helpdesk et support IT à la détection du vishing — créer des procédures de vérification d'identité multi-canaux avant tout reset de mot de passe ou octroi d'accès distant
• Activer les Conditional Access policies Microsoft 365 pour bloquer les connexions depuis des localisations inhabituelles, même avec MFA valide
• Déployer du MFA résistant au phishing (FIDO2 / passkeys) sur tous les comptes à accès sensibles — ces méthodes ne peuvent pas être contournées par un proxy de phishing en temps réel
• Segmenter les permissions SharePoint — appliquer le principe du moindre privilège sur tous les sites et bibliothèques de documents commerciaux
• Mettre en place une surveillance des téléchargements massifs via Microsoft Defender for Cloud Apps ou équivalent — un téléchargement de 147 Go devrait déclencher une alerte immédiate