Une fuite de données vise Aqualter, entreprise française spécialisée dans la gestion de l’eau. Le hacker ChimeraZ affirme avoir récupéré puis diffusé une base contenant 320 936 lignes, avec au total 187 073 numéros de téléphone et 86 156 adresses e-mail.
Le pirate présente l’ensemble comme concernant 273 229 personnes. Les fichiers représenteraient environ 7 Mo de données au format CSV. Aucun mot de passe, document, donnée bancaire ou information directement liée aux infrastructures exploitées par Aqualter n’est annoncé dans cette publication.
Aqualter, un acteur français de la gestion de l’eau
Aqualter est une entreprise française indépendante spécialisée dans les métiers de l’eau. Son activité concerne notamment la gestion de services liés à l’eau potable et à l’assainissement, dans un secteur où les entreprises travaillent régulièrement avec des collectivités, des partenaires, des fournisseurs et différents interlocuteurs professionnels.
La fuite revendiquée ne permet cependant pas d’établir que des systèmes industriels ou des infrastructures liées à la distribution de l’eau ont été compromis. Les éléments publiés par ChimeraZ concernent pour l’instant exclusivement des coordonnées de contact.
Une fuite publiée par ChimeraZ le 10 septembre
ChimeraZ a rendu publique la fuite dans la nuit du 10 septembre 2026. Le hacker indique avoir récupéré des contacts liés à aqualter.com et met en avant deux catégories principales de données : les adresses e-mail et les numéros de téléphone.
La publication fait état de plusieurs fichiers CSV pouvant être téléchargés séparément. Les fichiers diffusés montrent des coordonnées associées à des identifiants numériques internes, ce qui laisse penser que les informations ont pu être extraites depuis une base structurée ou exportées depuis un outil utilisé pour gérer des contacts.
Plus de 320 000 lignes de données
Selon les chiffres communiqués par ChimeraZ, la fuite comprend :
- 320 936 lignes au total ;
- 273 229 personnes revendiquées ;
- 187 073 numéros de téléphone ;
- 86 156 adresses e-mail ;
- environ 7 Mo de données.
Cyberattaque.org s’est procuré les fichiers et un détail appelle néanmoins à la prudence concernant le nombre réel de personnes touchées. Les 187 073 téléphones et 86 156 e-mails représentent exactement 273 229 entrées, soit le nombre de personnes annoncé par le hacker.
Cette correspondance ne suffit pas à démontrer qu’il existe réellement 273 229 individus uniques. Une même personne peut disposer de plusieurs coordonnées, apparaître dans plusieurs fichiers ou, à l’inverse, ne disposer que d’un téléphone ou d’une adresse e-mail. Le nombre de victimes distinctes est donc de 187 073 selon notre décompte.
Des adresses e-mail et téléphones directement exploitables
Contrairement à certaines fuites contenant des documents administratifs, des mots de passe ou des informations bancaires, les données annoncées ici semblent limitées à deux catégories. Cela ne signifie toutefois pas qu’elles sont sans valeur pour des cybercriminels.
Une adresse e-mail ou un numéro de téléphone constitue généralement une première porte d’entrée pour des campagnes de phishing, smishing ou démarchage frauduleux. Ces coordonnées peuvent également être croisées avec d’autres bases déjà diffusées afin d’identifier plus précisément leurs propriétaires.
L’origine exacte des données reste inconnue
ChimeraZ ne fournit pas d’explication sur la manière dont les informations auraient été obtenues. Il est donc impossible à ce stade de déterminer si l’attaquant a compromis directement un système appartenant à Aqualter.
Plusieurs scénarios peuvent théoriquement conduire à ce type d’exposition : accès à une base de contacts, compromission d’un outil CRM, vulnérabilité sur une application web, accès à un export laissé accessible ou encore incident chez un prestataire. Aucun de ces scénarios ne peut cependant être retenu sans élément technique supplémentaire.
La présence d’identifiants associés aux coordonnées pourrait indiquer que les fichiers proviennent d’une application structurée plutôt que d’une simple collecte manuelle d’adresses publiques. Cela reste toutefois insuffisant pour identifier précisément leur source.
Aucun élément ne montre une compromission des infrastructures d’eau
Le secteur dans lequel évolue Aqualter rend nécessaire une distinction importante. À ce stade, la publication de ChimeraZ ne contient aucun élément démontrant une intrusion dans des systèmes industriels, des installations de traitement ou des équipements servant à la gestion de l’eau.
La fuite revendiquée doit donc être considérée pour ce qu’elle montre actuellement : une exposition massive de coordonnées. Assimiler cette publication à une compromission des infrastructures exploitées par l’entreprise serait prématuré.
Phishing et faux appels parmi les principaux risques
Le risque le plus immédiat concerne désormais les tentatives d’ingénierie sociale. Un attaquant disposant d’une adresse e-mail ou d’un numéro de téléphone peut tenter de se faire passer pour Aqualter, une collectivité, un fournisseur ou un autre organisme connu de la victime.
Les numéros de téléphone peuvent notamment être utilisés pour envoyer de faux SMS demandant de cliquer sur un lien, rappeler un numéro ou communiquer des informations supplémentaires. Les adresses e-mail peuvent de leur côté servir à diffuser des campagnes de phishing visant à récupérer des identifiants ou des données bancaires.
Le risque augmente fortement lorsque ces coordonnées sont recoupées avec d’autres fuites. Une simple adresse e-mail peut alors être reliée à un nom, une entreprise, une adresse postale ou d’autres informations personnelles issues de bases déjà disponibles dans l’écosystème cybercriminel.
Une fuite encore à confirmer par Aqualter
À ce stade, les chiffres de 320 936 lignes et 273 229 personnes proviennent de la publication de ChimeraZ. L’origine des fichiers, leur ancienneté et le nombre exact de personnes distinctes présentes dans les données restent à établir.
Aqualter n’a pas encore confirmé publiquement l’incident ni précisé si les coordonnées revendiquées par le hacker proviennent effectivement de ses propres systèmes ou d’un environnement tiers. La diffusion effective des fichiers représente néanmoins un risque pour les personnes dont les coordonnées figurent dans la base.