Aastrio, société parisienne de portage salarial opérant notamment sous la marque Monday, est visée par une fuite de données particulièrement sensible. Une sauvegarde attribuée à son ancien portail collaboratif a été diffusée gratuitement dans un espace cybercriminel.
Cyberattaque.org s’est procuré les fichiers afin d’en analyser le contenu. Le nombre de personnes concernées est relativement limité, avec 26 personnes identifiables, mais les informations présentes pour certains profils sont parmi les plus sensibles que l’on puisse retrouver dans une fuite.
Aastrio, une société de portage salarial
Aastrio exerce dans le secteur du portage salarial et accompagne notamment des travailleurs indépendants dans la gestion administrative de leur activité. La société utilise également la marque Monday.
Les données diffusées proviennent d’un ancien portail collaboratif basé sur Ovidentia, une solution éditée par Cantico. Plusieurs adresses techniques liées à Cantico apparaissent d’ailleurs dans les éléments associés à la base.
Seulement 26 personnes, mais des données extrêmement sensibles
Notre analyse permet d’identifier un périmètre d’environ 26 personnes. Parmi elles figurent notamment une quinzaine de travailleurs indépendants enregistrés dans le dispositif de portage ainsi que plusieurs contacts professionnels liés à des entreprises clientes.
Pour certains consultants, les fiches vont très loin dans le niveau de détail et peuvent regrouper :
- nom et prénom ;
- date et lieu de naissance ;
- adresse postale ;
- numéros de téléphone ;
- numéro de sécurité sociale ;
- coordonnées bancaires, dont l’IBAN, pour une partie des personnes ;
- informations professionnelles et administratives liées au portage.
Des comptes du portail également présents
La base contient aussi plusieurs comptes associés au portail collaboratif. Les mots de passe n’apparaissent pas directement en clair, mais sous la forme de valeurs de hachage utilisant un mécanisme ancien.
La présence simultanée d’identités complètes, d’informations bancaires et de données administratives rend surtout cette fuite exploitable pour des tentatives d’usurpation d’identité ou de fraude ciblée.
Une base qui semble figée depuis huit ans
Un élément important ressort de notre analyse : les données les plus récentes s’arrêtent en juin 2018. La publication actuelle semble donc remettre en circulation une ancienne sauvegarde plutôt que démontrer à elle seule une compromission récente des systèmes d’Aastrio.
Cette ancienneté n’annule pas le risque. Une date de naissance, un numéro de sécurité sociale ou certaines coordonnées bancaires peuvent rester exploitables plusieurs années après leur collecte.
Un risque important d’usurpation et de fraude bancaire
Le croisement entre identité, adresse, numéro de sécurité sociale et IBAN fournit un profil particulièrement complet. Ces données peuvent faciliter l’usurpation d’identité, la constitution de faux dossiers administratifs ou des campagnes de phishing personnalisées.
Un IBAN ne permet pas à lui seul de vider un compte bancaire, mais associé à des informations d’identité et à un contexte professionnel réel, il peut notamment être utilisé dans des tentatives de fraude au mandat ou de prélèvement abusif.
Aucune cyberattaque récente démontrée à ce stade
La diffusion des fichiers permet d’établir que des données attribuées à Aastrio et à son ancien portail circulent bien. En revanche, leur ancienneté ne permet pas de conclure qu’une intrusion a eu lieu récemment.
À ce stade, Aastrio n’a pas confirmé publiquement cette fuite et le point d’origine exact de la base reste inconnu. Les éléments disponibles montrent surtout la remise en circulation d’une sauvegarde ancienne contenant un volume limité de personnes, mais des données personnelles particulièrement sensibles.