ShinyHunters frappe Questel SAS : 21 millions de records Salesforce volés

Les faits

Le 2 août 2026, le groupe de cybercriminels ShinyHunters a publié sur son site de fuite une revendication d'attaque visant Questel SAS, société française spécialisée dans la gestion de la propriété intellectuelle (IP), les services de brevet, les solutions de marques et l'intelligence technologique. Le groupe affirme avoir exfiltré plus de 21 millions de records Salesforce contenant des données personnelles (PII) ainsi que 147 Go de données internes d'entreprise. ShinyHunters avait posé un ultimatum à Questel pour entamer des négociations avant le 4 août 2026, sous peine de publication publique et de "problèmes numériques supplémentaires".

Questel SAS est un acteur de premier plan dans l'écosystème mondial de la propriété intellectuelle. La société parisienne fournit des services de recherche de brevets, de surveillance des marques, d'analyses technologiques et de gestion des portefeuilles IP à des entreprises, cabinets d'avocats et institutions académiques dans plus de 30 pays. Sa base de données clients regroupe des industriels, des innovateurs, des cabinets de conseil en PI et des entreprises pharmaceutiques, agro-alimentaires, technologiques et du secteur défense — tous ayant des intérêts particulièrement sensibles en matière de propriété intellectuelle.

La nature des données potentiellement volées est particulièrement préoccupante dans ce contexte. Les 21 millions de records Salesforce d'un prestataire PI peuvent contenir des informations sur des dépôts de brevets, des portefeuilles de marques, des projets de R&D non encore déposés, des correspondances entre inventeurs et mandataires, ainsi que des données d'identification de contacts clients mondiaux. Ce type de données représente une valeur stratégique considérable pour des concurrents, des États-nations ou des acteurs de l'espionnage industriel, indépendamment de la valeur marchande directe des informations personnelles.

L'ESIX (External Severity Impact Score) évalué par Hackmanac pour cet incident est de 7,40/10, reflétant la combinaison du volume de données, de la sensibilité des informations et de la réputation du groupe d'attaquants. Aucune déclaration publique n'avait été émise par Questel SAS au moment des premières publications par DarkWebInformer et breachnews.com le 2 août 2026.

Cette attaque s'inscrit dans une campagne beaucoup plus large menée par ShinyHunters. Selon les analyses publiées par ReliaQuest et State of Surveillance, le groupe aurait revendiqué plus de 1,5 milliard de records Salesforce volés dans une campagne ciblant plus de 1 000 organisations. La même semaine, ShinyHunters a également revendiqué des attaques contre Alcon (fabricant de dispositifs médicaux ophtalmologiques) et Lumenis (société israélienne de technologies médicales laser), élargissant encore le spectre de la campagne.

Le modus operandi de ShinyHunters dans cette campagne exploite des failles de configuration dans les instances Salesforce de ses cibles. Les vecteurs les plus fréquemment observés incluent : des instances Experience Cloud exposées sans authentification, des profils utilisateurs avec des permissions insuffisamment restreintes, des API REST accessibles sans contrôle d'accès strict, et des intégrations tierces bénéficiant de droits excessifs. Ces vulnérabilités ne sont pas des CVE — elles résultent de choix de configuration effectués lors du déploiement et rarement audités ensuite.

La collaboration supposée entre ShinyHunters et certains membres de Scattered Spider, documentée par ReliaQuest, explique partiellement la sophistication des opérations de reconnaissance initiale. Scattered Spider est connu pour ses techniques d'ingénierie sociale avancées permettant d'obtenir des accès SSO ou des tokens Salesforce légitimes, utilisés ensuite par ShinyHunters pour l'exfiltration à grande échelle.

ShinyHunters est actif depuis au moins 2020 et est à l'origine de fuites majeures touchant Tokopedia (91 millions d'utilisateurs), Wattpad, HomeChef, et des campagnes massives contre des clients Snowflake en 2024. La montée en puissance des attaques SaaS constitue l'évolution naturelle d'un groupe qui a fait de l'exploitation des plateformes cloud une spécialité industrialisée.

Pour les organisations clientes de Questel SAS, l'exposition directe dépend de la nature des données échangées avec le prestataire. Les entreprises ayant confié la gestion de leurs portefeuilles brevets ou marques à Questel doivent évaluer le risque de divulgation d'informations sur des innovations non encore rendues publiques — particulièrement critique pour les secteurs pharmaceutique, biotechnologique, technologique et défense.

Impact et exposition

L'exposition directe concerne les clients de Questel SAS ayant des données dans ses systèmes Salesforce : cabinets de propriété intellectuelle, entreprises innovantes, industriels avec des brevets actifs, cabinets d'avocats spécialisés. Si les 21 millions de records sont publiés, les données PII de contacts professionnels mondiaux seront disponibles pour des campagnes de phishing ciblé et d'ingénierie sociale. La dimension PI des données augmente le risque d'espionnage industriel si des informations non publiées sur des brevets ou technologies sont incluses. Les entités soumises au RGPD ont des obligations de notification à évaluer.

Recommandations

• Vérification préstataire — Contacter Questel SAS pour évaluer l'étendue des données potentiellement exposées vous concernant
• Audit Salesforce interne — Auditer la configuration de vos propres instances Salesforce : profils utilisateurs, permissions API, Experience Cloud, intégrations tierces
• Vigilance phishing ciblé — Alerter vos équipes sur un risque accru de phishing utilisant des informations professionnelles précises issues de la fuite
• Surveillance dark web — Mettre en place une surveillance des publications ShinyHunters concernant votre secteur (PI, pharmaceutique, technologique)
• Évaluation RGPD — Si des données personnelles de vos collaborateurs ou contacts sont exposées, évaluer avec votre DPO l'obligation de notification CNIL dans les 72h (articles 33 et 34 du RGPD)