Déclic Services fait face à une cyberattaque particulièrement sérieuse. Le hacker ZeroBytes revendique le vol de la base de données de la coopérative, avec 6 271 531 lignes brutes, et est allé jusqu’à modifier le site officiel actuellement en production pour y afficher des informations sur son intrusion.
L’attaquant affirme avoir récupéré environ 13 000 comptes utilisateurs, plus de 6 300 coordonnées bancaires, ainsi que des informations personnelles, de facturation et des éléments techniques liés à l’infrastructure.
Déclic Services, une coopérative de services à la personne
Déclic Services est une coopérative spécialisée dans les services à la personne. Elle accompagne des professionnels et leurs clients dans la gestion administrative des prestations, notamment autour de la facturation et des échanges liés aux interventions.
Le hacker a modifié directement le site en production
L’incident dépasse largement une simple publication sur un espace cybercriminel. ZeroBytes est parvenu à modifier le site declicservices.fr actuellement accessible au public afin d’y afficher sa propre communication sur l’attaque ainsi que l’échantillon de données.
Cette modification constitue un élément particulièrement concret de la compromission : l’attaquant dispose, ou a disposé récemment, d’un niveau d’accès lui permettant d’intervenir directement sur l’environnement web de production.
12 400 clients et 850 intervenants dans une chronologie de l’incident
Une chronologie de l’incident dont Cyberattaque.org a eu connaissance fait remonter le début de l’intrusion au 10 août 2026. Elle évoque la compromission des identifiants d’un compte administrateur à la suite d’une campagne d’hameçonnage.
Entre le 10 et le 14 août, l’attaquant aurait pu accéder aux informations d’environ 12 400 clients et 850 intervenants, avec notamment des noms, prénoms, adresses, e-mails, numéros de téléphone et historiques de prestations.
Cette chronologie diffère toutefois du scénario présenté publiquement par ZeroBytes, qui décrit de son côté une chaîne passant par WordPress, un ERP, la base de production puis différentes ressources cloud. Ces deux versions ne permettent pas encore d’établir avec certitude le point d’entrée initial.
Une intrusion détectée le 15 août
Selon cette même chronologie, l’intrusion aurait pris fin le 14 août, avec une exfiltration présumée de la base. Des journaux d’accès anormaux auraient ensuite été détectés par l’équipe informatique le 15 août.
Elle indique également qu’aucune notification à la CNIL ni information des personnes concernées n’aurait encore été réalisée au 23 août. Si ces éléments sont confirmés, la gestion réglementaire de l’incident pourrait donc devenir un second sujet majeur autour de cette affaire.
6,2 millions de lignes mais environ 13 000 personnes
Le chiffre de 6 271 531 lignes annoncé par ZeroBytes ne correspond pas à autant de victimes. Le hacker précise lui-même qu’il s’agit de données brutes non dédupliquées et revendique notamment 14 947 adresses e-mail uniques, 6 451 IBAN uniques et plusieurs centaines de hachages de mots de passe distincts.
- identités et coordonnées ;
- adresses postales ;
- IBAN et RIB ;
- hachages de mots de passe ;
- historique des prestations ;
- données de facturation et informations financières ;
- références internes d’infrastructure ;
- informations de configuration et d’accès à différents services.
De WordPress jusqu’à l’infrastructure cloud selon ZeroBytes
ZeroBytes affirme pour sa part avoir commencé par le site WordPress exposé publiquement, avant de découvrir un ERP accessible depuis Internet. Une vulnérabilité de cet ERP lui aurait ensuite permis d’atteindre la base de production et d’en réaliser un export complet.
Des identifiants, clés d’accès et informations de configuration découverts dans cet environnement auraient ensuite permis au hacker de progresser vers d’autres services. Il décrit ainsi une chaîne de compromission WordPress → ERP → base de données → infrastructure cloud.
Des clients signaleraient déjà des SMS frauduleux
La chronologie obtenue indique également que des clients auraient déjà signalé des SMS frauduleux utilisant des informations relatives à leurs prestations. Si ce lien avec la fuite est confirmé, les données exfiltrées commenceraient donc déjà à être exploitées dans des tentatives d’arnaque ciblée.
Avec des identités, coordonnées bancaires et historiques de prestations, les attaquants disposent en effet de suffisamment de contexte pour construire des messages particulièrement crédibles en se faisant passer pour Déclic Services, un intervenant ou un service de facturation.
Une compromission désormais difficile à minimiser
Entre les millions de lignes revendiquées, les données bancaires annoncées, la chronologie détaillée de l’incident et surtout la modification directement observable du site officiel en production, cette cyberattaque prend une ampleur particulièrement importante.
Le principal point encore à clarifier concerne désormais le scénario technique exact de l’intrusion et le périmètre définitif des données exfiltrées, davantage que la réalité même de la compromission.