Une compromission potentiellement massive frappe BlgCloud, éditeur français d’un ERP SaaS utilisé par des professionnels du machinisme agricole, de la manutention, de la location et des travaux publics. Un acteur utilisant le pseudonyme misere affirme avoir obtenu un accès à 159 instances clientes sur environ 230 et avoir extrait des données CRM, des e-mails et des documents internes.
Le pirate évoque plusieurs téraoctets de données et des millions de documents. Surtout, il annonce vendre séparément les données des entreprises, mais également la méthode d’accès et la vulnérabilité utilisée, tout en promettant de publier gratuitement les données d’une nouvelle société chaque jour. Ces volumes et le nombre d’instances restent à ce stade des revendications non confirmées par BlgCloud.
BlgCloud, un ERP au cœur de l’activité de ses clients
BlgCloud fournit un logiciel de gestion d’entreprise entièrement accessible dans le cloud. La plateforme est destinée notamment aux concessionnaires, loueurs, réparateurs, distributeurs et grossistes de matériels agricoles, de manutention et de travaux publics.
Ce type d’ERP centralise une grande partie de l’activité quotidienne d’une entreprise : CRM, clients et fournisseurs, vente, location, SAV, parc matériel, achats, finance, documents et échanges commerciaux. Une compromission au niveau de l’éditeur peut donc avoir un effet en cascade sur de nombreuses sociétés utilisant la même plateforme.
Plus de 150 entreprises apparaissent dans la liste
La liste publiée comporte 159 instances présentées comme compromises. Elle rassemble principalement des sociétés françaises de location, d’agriculture, de motoculture, de manutention et de matériel professionnel.
Parmi les noms affichés figurent notamment Renault Retail Group, SPIE Batignolles, Novelis, Manitowoc, Magni Distribution, Groupe Bernard, Groupe Clenet, Groupe Lenormant, Actis Location, Dron, Loutz, Tilly, Axxel, Chavanel ou encore plusieurs enseignes Uship. Leur présence dans cette liste signifie qu’une instance leur étant associée est revendiquée comme accessible par les attaquants ; elle ne démontre pas encore que l’intégralité des données de chacune de ces entreprises a été récupérée.
IBAN, CRM et données commerciales dans les échantillons
Les exemples publiés montrent la richesse des informations pouvant être stockées dans BlgCloud. Un simple enregistrement CRM peut regrouper :
- raison sociale et informations juridiques ;
- adresses et coordonnées géographiques ;
- numéros de téléphone et contacts professionnels ;
- SIRET et numéro de TVA ;
- IBAN et BIC ;
- relations avec d’autres sociétés ou contacts ;
- notes commerciales et champs internes ;
- historique et références de documents.
Plus inquiétant encore, certains champs libres de l’échantillon contiennent ce qui ressemble à des identifiants et mots de passe conservés en clair par des utilisateurs. Nous ne reproduisons évidemment aucune de ces informations.
Contrats, RIB, documents fiscaux et fichiers RH
L’attaquant affirme également pouvoir accéder aux documents associés aux fiches CRM. Dans l’exemple diffusé apparaissent notamment des références à des RIB, contrats d’assurance, baux, attestations URSSAF, documents fiscaux, Kbis, bons de commande et documents liés aux salariés.
Un des documents référencés concerne même une liste nominative de salariés étrangers soumis à autorisation de travail. Cela montre à quel point une compromission d’un ERP peut dépasser les seules données commerciales et atteindre des documents administratifs particulièrement sensibles.
Les e-mails professionnels également accessibles
Les échantillons fournis comportent également des e-mails envoyés depuis des entreprises clientes, avec leurs expéditeurs, destinataires, objets, contenu des messages et références de pièces jointes.
Un attaquant disposant de ces échanges peut reconstituer les relations entre fournisseurs, clients et salariés, connaître des affaires en cours et préparer des campagnes de fraude au président, faux changement de RIB ou phishing extrêmement crédibles.
Une compromission qui pourrait devenir une attaque de chaîne d’approvisionnement
La particularité de l’incident réside dans son caractère multi-entreprises. Si l’accès revendiqué provient réellement d’une faiblesse commune à BlgCloud, une seule vulnérabilité pourrait donner accès aux environnements de nombreux clients du SaaS.
L’auteur affirme justement vendre la méthode d’accès et la vulnérabilité permettant d’extraire les données. Si cette affirmation est exacte et que le problème n’est pas corrigé, d’autres groupes pourraient tenter de reproduire l’accès, ce qui augmenterait considérablement le risque pour les instances restantes.
Une entreprise doit être publiée gratuitement chaque jour
Le pirate ne propose pas seulement l’ensemble à la vente. Il annonce vouloir diffuser gratuitement les données d’une entreprise différente chaque jour afin d’accentuer la pression sur BlgCloud.
Les entreprises figurant dans la liste pourraient donc voir progressivement apparaître leurs CRM, documents ou communications internes. Le périmètre de la fuite est ainsi susceptible d’évoluer rapidement dans les prochains jours.
Des conséquences potentiellement lourdes pour les 159 entreprises
Les risques ne se limitent pas à la confidentialité des données clients. L’accès revendiqué à un ERP aussi central peut fournir une véritable cartographie commerciale et financière des entreprises concernées.
- fraudes au changement de RIB ;
- phishing ciblé contre les salariés et partenaires ;
- vol de documents commerciaux ou contractuels ;
- exposition de données bancaires ;
- usurpation d’un fournisseur ou d’un client connu ;
- utilisation d’identifiants retrouvés dans les champs internes ;
- exploitation des échanges professionnels pour préparer de nouvelles intrusions.
Un incident encore non confirmé par BlgCloud
À ce stade, BlgCloud n’a pas publiquement confirmé l’accès aux 159 instances revendiquées. Les attaquants ont néanmoins publié des échantillons structurés de CRM, d’e-mails et de références documentaires pour étayer leurs affirmations.
Si le périmètre annoncé est confirmé, cette affaire pourrait devenir l’une des compromissions SaaS françaises les plus importantes de l’année 2026 : une attaque contre un seul éditeur serait susceptible d’exposer simultanément les données internes de plus de 150 entreprises.