La cyberattaque Déclic Services illustre un scénario de plus en plus préoccupant pour les PME et structures de services : un incident qui ne se limite pas à un simple site web compromis, mais qui peut toucher plusieurs briques du système d’information.

Un attaquant utilisant le pseudonyme ZeroBytes revendique avoir compromis Déclic Services, une coopérative française spécialisée dans les services à la personne, et avoir exfiltré un important volume de données.

Le hacker affirme disposer de 6,27 millions de lignes brutes, mais ce chiffre ne correspond pas à 6,27 millions de personnes. Les informations disponibles évoquent plutôt environ 15 000 adresses e-mail uniques et plusieurs milliers d’IBAN uniques dans les données revendiquées. Ces chiffres restent toutefois à considérer avec prudence tant qu’ils ne sont pas confirmés officiellement par l’entreprise ou une autorité.

Le cas devient particulièrement intéressant parce que l’attaquant aurait également modifié le site officiel en production, ce qui constitue un indicateur concret d’un accès important à l’environnement web.

Au-delà du cas Déclic Services, cette affaire pose plusieurs questions essentielles :

• comment une compromission peut-elle passer d’un site WordPress à un ERP puis au cloud ?
• pourquoi les identifiants administrateurs restent-ils une cible majeure ?
• quels risques existent lorsque des IBAN, coordonnées ou historiques clients sont exposés ?
• que doit faire une entreprise lorsqu’elle découvre une violation de données ?

Voici ce qu’il faut comprendre.

Cyberattaque Déclic Services : ce que l’on sait réellement

Les informations actuellement disponibles reposent en partie sur les revendications de ZeroBytes et sur des éléments rapportés par des sources spécialisées.

Le pirate revendique notamment :

• plus de 6,2 millions de lignes brutes ;
• environ 15 000 adresses e-mail uniques ;
• plusieurs milliers d’IBAN ;
• des informations de facturation ;
• des données clients ;
• des données techniques et de configuration.

Il faut cependant distinguer deux notions :

nombre de lignes dans une base de données
et
nombre de personnes réellement concernées

Une même personne peut apparaître des dizaines ou centaines de fois dans différentes tables :

• factures ;
• prestations ;
• historiques ;
• journaux ;
• paiements ;
• coordonnées.

C’est pourquoi une base contenant plusieurs millions de lignes peut correspondre à seulement quelques milliers ou dizaines de milliers d’individus.

Pourquoi la modification du site officiel est un signal fort

Dans beaucoup de cyberattaques, la seule preuve publique est une revendication publiée sur un forum ou un canal cybercriminel.

Ici, le pirate aurait également modifié directement le site officiel de Déclic Services afin d’y afficher des informations concernant l’attaque.

C’est un élément important.

Un attaquant capable de modifier un site en production dispose généralement d’un accès significatif à au moins une partie de l’environnement technique.

Cela peut provenir de plusieurs scénarios :

• compte administrateur WordPress compromis ;
• accès FTP/SFTP ;
• accès au serveur ;
• accès à un panneau d’hébergement ;
• vulnérabilité applicative ;
• identifiants récupérés ailleurs dans le système.

Mais cela ne permet pas, à lui seul, de déterminer le point d’entrée initial.

Phishing ou WordPress : deux scénarios différents

L’un des éléments les plus intéressants de cette affaire concerne justement l’incertitude sur le scénario initial.

Une chronologie rapportée évoque une compromission d’un compte administrateur à la suite d’une campagne de phishing.

ZeroBytes présente de son côté une autre chaîne :

WordPress → ERP → base de production → infrastructure cloud

Ces deux scénarios ne sont pas nécessairement incompatibles.

Par exemple, un compte administrateur compromis par phishing peut permettre à l’attaquant d’accéder à WordPress puis de découvrir d’autres informations techniques.

Inversement, une faille applicative peut permettre d’obtenir des identifiants ensuite réutilisés ailleurs.

Pour le moment, l’origine exacte de l’attaque n’est pas publiquement établie de façon certaine.

Comment une attaque peut-elle passer de WordPress à un ERP ?

C’est ici que cette cyberattaque devient particulièrement instructive.

Un site WordPress ne devrait théoriquement pas donner automatiquement accès :

• à un ERP ;
• à une base métier ;
• au cloud ;
• à l’ensemble du système d’information.

Mais dans la pratique, plusieurs erreurs peuvent créer des passerelles.

1. Réutilisation d’identifiants

Si le même mot de passe est utilisé pour :

• WordPress ;
• ERP ;
• hébergement ;
• cloud ;

une seule compromission peut ouvrir plusieurs portes.

2. Secrets stockés sur le serveur

Des fichiers de configuration peuvent contenir :

• identifiants de base de données ;
• clés API ;
• tokens ;
• credentials cloud.

Une fois le serveur compromis, l’attaquant peut les récupérer.

3. ERP exposé sur Internet

Un ERP accessible publiquement peut lui-même comporter :

• une faille ;
• une mauvaise configuration ;
• une authentification faible.

4. Réseau insuffisamment segmenté

Si les différents services peuvent communiquer trop librement entre eux, l’attaquant peut progresser latéralement.

La sécurité moderne repose notamment sur une idée simple :

compromettre une application ne devrait pas permettre de compromettre tout le reste.

Pourquoi les PME sont particulièrement exposées

Les PME disposent souvent d’un système d’information construit progressivement.

On ajoute au fil des années :

• WordPress ;
• CRM ;
• ERP ;
• outils de facturation ;
• stockage cloud ;
• logiciels métiers ;
• plugins ;
• services externes.

Chacun peut être correctement sécurisé individuellement, mais les connexions entre ces services constituent souvent le véritable risque.

Un attaquant ne cherche pas forcément la faille parfaite.

Il cherche plutôt :

la porte la plus simple pour atteindre la ressource la plus intéressante.

6,2 millions de lignes : pourquoi ce chiffre peut être trompeur

Dans les annonces de cyberattaque, les attaquants communiquent souvent sur le chiffre le plus spectaculaire.

Ici :

6 271 531 lignes

semble extrêmement impressionnant.

Mais une ligne de base peut être :

• une facture ;
• une prestation ;
• un log ;
• une ligne de commande ;
• une ancienne adresse ;
• une référence comptable.

Le chiffre utile pour comprendre l’impact réel est plutôt le nombre de personnes uniques et la nature des données exposées.

Selon les revendications disponibles, les données les plus sensibles seraient notamment :

• identité ;
• email ;
• téléphone ;
• adresse postale ;
• IBAN ;
• données de facturation ;
• historique de prestations.

Ce sont ces informations qui déterminent véritablement le risque.

Un IBAN volé permet-il de vider un compte bancaire ?

C’est une question fréquente.

Non, un IBAN seul ne permet normalement pas de retirer directement de l’argent.

Un IBAN sert essentiellement à identifier un compte bancaire pour :

• recevoir un virement ;
• mettre en place certains prélèvements.

Mais lorsqu’il est associé à d’autres informations personnelles, il devient beaucoup plus intéressant pour un fraudeur.

Par exemple :

• nom ;
• adresse ;
• téléphone ;
• historique de paiement ;
• nom d’un prestataire.

Avec suffisamment de contexte, l’attaquant peut créer un message extrêmement crédible.

Le véritable risque : le phishing ciblé

Une fuite de données devient particulièrement dangereuse lorsqu’elle permet de personnaliser une arnaque.

Imaginez un SMS :

« Déclic Services : une anomalie de 48,90 € a été détectée sur votre dernière prestation. Merci de confirmer vos coordonnées bancaires. »

Si la victime est réellement cliente de Déclic Services, le message paraît immédiatement plus crédible.

C’est ce qu’on appelle souvent du spear phishing, ou hameçonnage ciblé.

Une base comportant :

• identité ;
• prestation ;
• montant ;
• IBAN partiel ;

permet de produire des campagnes bien plus convaincantes qu’un simple spam envoyé au hasard.

Que faire si vous êtes client de Déclic Services ?

Si vous pensez que vos données peuvent être concernées, plusieurs précautions sont raisonnables.

1. Méfiez-vous des SMS et emails inattendus

Ne cliquez pas automatiquement sur un lien affirmant provenir de :

• Déclic Services ;
• votre intervenant ;
• votre banque ;
• un service de facturation.

2. Ne communiquez jamais vos identifiants bancaires par email ou SMS

Une entreprise sérieuse ne vous demandera normalement pas :

• votre mot de passe ;
• votre code bancaire ;
• votre code SMS de validation.

3. Surveillez vos opérations bancaires

Vérifiez régulièrement vos mouvements.

En cas de prélèvement inconnu, contactez rapidement votre banque.

4. Changez un mot de passe s’il a été réutilisé

Si vous utilisiez le même mot de passe sur Déclic Services et ailleurs, changez-le immédiatement.

Utilisez idéalement :

• un mot de passe unique ;
• un gestionnaire de mots de passe ;
• la double authentification.

Fuite de données : quelles obligations pour l’entreprise

Lorsqu’une entreprise découvre une violation de données personnelles, le RGPD prévoit plusieurs obligations.

La CNIL rappelle qu’une violation susceptible d’entraîner un risque pour les droits et libertés des personnes doit être documentée et notifiée à l’autorité compétente.

Lorsque le risque est élevé, les personnes concernées doivent également être informées.

Dans le cas d’un sous-traitant, celui-ci doit aussi informer rapidement les responsables de traitement concernés afin qu’ils puissent remplir leurs propres obligations.

La règle des 72 heures

Le RGPD prévoit qu’une violation présentant un risque doit être notifiée :

dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.

Cela ne signifie pas nécessairement que l’entreprise doit connaître tous les détails dans les 72 heures.

Une notification initiale peut être complétée ensuite lorsque l’enquête progresse.

La CNIL insiste surtout sur la nécessité de :

• documenter l’incident ;
• comprendre son périmètre ;
• évaluer les risques ;
• informer les parties concernées lorsque nécessaire.

Pourquoi l’absence de communication peut aggraver une crise

Une cyberattaque est déjà difficile à gérer techniquement.

Mais une mauvaise communication peut créer une seconde crise.

Les clients veulent rapidement savoir :

• mes données sont-elles concernées ?
• quelles informations ont été volées ?
• que dois-je faire ?
• dois-je changer mon mot de passe ?
• dois-je contacter ma banque ?

Lorsque ces réponses ne sont pas disponibles, le vide informationnel peut être rempli par :

• rumeurs ;
• captures d’écran ;
• publications du hacker ;
• informations contradictoires.

Une communication claire et régulière fait donc partie intégrante de la réponse à incident.

Cyberattaque Déclic Services : 8 leçons pour les entreprises

L’affaire Déclic Services permet de tirer plusieurs enseignements applicables bien au-delà de cette entreprise.

1. Activer la MFA partout

En priorité sur :

• WordPress ;
• ERP ;
• cloud ;
• email ;
• hébergement.

2. Ne jamais réutiliser les mots de passe

Chaque service doit avoir un identifiant unique.

3. Segmenter l’infrastructure

WordPress ne devrait pas pouvoir accéder librement à toutes les ressources métier.

4. Protéger les secrets

Les clés API et mots de passe doivent être stockés de manière sécurisée.

5. Maintenir WordPress et les plugins à jour

Une application exposée sur Internet doit être patchée régulièrement.

6. Surveiller les logs

Les connexions inhabituelles doivent pouvoir être détectées rapidement.

7. Former les employés au phishing

Une simple campagne d’hameçonnage peut contourner des protections techniques coûteuses.

8. Préparer un plan de réponse à incident

Une organisation doit déjà savoir :

• qui appeler ;
• qui coupe quoi ;
• qui communique ;
• qui analyse ;
• qui contacte la CNIL.

Une sauvegarde suffit-elle contre ce type d’attaque ?

Non.

Une sauvegarde protège surtout contre :

• suppression ;
• ransomware ;
• corruption ;
• erreur.

Elle ne protège pas contre :

la copie silencieuse des données.

Si l’attaquant a exfiltré une base, restaurer une sauvegarde n’annule pas la fuite.

La sécurité doit donc combiner :

sauvegarde + détection + segmentation + contrôle des accès + réponse à incident

WordPress est-il responsable de ce type d’attaque ?

Il serait trop simpliste de conclure :

« WordPress n’est pas sécurisé. »

WordPress est utilisé par une immense variété de sites.

Le problème dépend davantage de :

• la version ;
• les extensions ;
• les accès ;
• l’hébergement ;
• les mots de passe ;
• l’architecture ;
• la maintenance.

Dans cette affaire, le rôle exact de WordPress dans le point d’entrée n’est pas encore établi publiquement de façon définitive.

Il faut donc éviter d’affirmer que WordPress constitue la cause tant que l’enquête n’est pas finalisée.

Pourquoi le cloud ne protège pas automatiquement d’une cyberattaque

Autre idée reçue :

« Mes données sont dans le cloud, donc elles sont sécurisées. »

Le cloud peut offrir d’excellentes protections techniques.

Mais si un attaquant récupère :

• une clé API ;
• un compte administrateur ;
• un token ;

il peut parfois accéder au service comme un utilisateur légitime.

La question devient donc :

qui peut accéder à quoi, et avec quels privilèges ?

FAQ – Cyberattaque Déclic Services

Conclusion : une cyberattaque moderne est souvent une chaîne, pas une faille unique

La cyberattaque Déclic Services montre pourquoi les incidents modernes ne se limitent plus à :

« un site web a été piraté ».

Le véritable scénario peut ressembler à :

compte compromis → site web → ERP → base de données → cloud → données clients

Chaque étape repose souvent sur une faiblesse différente :

• humain ;
• mot de passe ;
• configuration ;
• logiciel ;
• architecture.

Le plus important n’est donc pas seulement de sécuriser WordPress.

Il faut sécuriser l’ensemble de la chaîne numérique.

Pour les entreprises, cela signifie :

• réduire les privilèges ;
• activer la MFA ;
• segmenter les systèmes ;
• surveiller les connexions ;
• protéger les secrets ;
• maintenir les logiciels ;
• préparer une réponse à incident.

Et pour les personnes potentiellement concernées par une fuite, le risque le plus immédiat reste souvent moins le piratage direct du compte bancaire que l’exploitation intelligente des données volées dans des arnaques ciblées.

Si vous suspectez une intrusion sur votre installation, consultez notre guide complet pour savoir que faire lorsqu’un site WordPress est piraté.