Dipeeo, société française spécialisée dans l’accompagnement RGPD et les services de DPO externalisé, fait l’objet d’une nouvelle revendication de fuite de données publiée ce 25 août 2026. Le hacker 0xSec affirme avoir récupéré la base accessible depuis metabase.dipeeo.fr et diffuse la structure de 11 fichiers JSON.
Le contenu annoncé est particulièrement sensible au regard de l’activité de Dipeeo : comptes clients, utilisateurs, responsables juridiques, sous-traitants, analyses de contrats, audits, demandes Trust Center et traces d’activité figurent parmi les données exposées.
Dipeeo, un DPO externalisé pour les entreprises
Dipeeo accompagne les organisations dans leur conformité au RGPD en proposant notamment des services de DPO externalisé et une plateforme permettant de gérer documents, registres, audits, sous-traitants et différentes actions de conformité.
Cette position rend la fuite particulièrement intéressante pour un attaquant : les données ne décrivent pas uniquement Dipeeo, mais également une partie de la gouvernance RGPD de ses entreprises clientes.
Comptes clients, responsables juridiques et informations commerciales
Le fichier accounts.json contient une importante quantité d’informations sur les organisations utilisant la plateforme. Les champs publiés comprennent notamment le nom de l’entreprise, le type de compte, les droits accordés sur les enquêtes, documents, registres et fonctions de génération, ainsi que les entités associées.
On retrouve également des informations sur le responsable juridique avec nom, e-mail et identifiant utilisateur, l’activité du compte, les rendez-vous planifiés, les e-mails envoyés, les notes internes, le site web, le nombre de salariés ou encore les coordonnées du contact commercial.
Des intégrations apparaissent aussi dans la structure, notamment avec Google Agenda, Google Drive et Pennylane. La simple présence de ces champs ne permet toutefois pas d’affirmer que des identifiants d’accès à ces services ont été exposés.
Les actions effectuées par les utilisateurs sont également tracées
Le fichier activities.json contient des journaux détaillés des actions réalisées dans la plateforme : identifiant du compte et de l’entité, utilisateur à l’origine de l’action, adresse e-mail, rôle, type d’action, enquête concernée, version du document et champs modifiés.
Ces données peuvent permettre de reconstituer une partie de l’activité interne d’un client et d’identifier les collaborateurs qui interviennent sur certains dossiers de conformité.
Des archives et des documents liés aux audits
Les fichiers archives.json et auditfillerjobs.json donnent davantage de visibilité sur les traitements réalisés dans la plateforme. Les archives comprennent notamment le type et la raison de l’archivage ainsi qu’un champ contenant les données associées.
Les tâches d’audit font apparaître de leur côté des noms de fichiers, types de documents, entreprises et entités concernées, enquêtes, versions, questions détectées et correspondances trouvées. La structure conserve également l’état d’avancement du traitement, les erreurs éventuelles et les dates de création ou de finalisation.
Des analyses de contrats de traitement de données
Le fichier dpa_analyses.json concerne les analyses de DPA, pour Data Processing Agreement, c’est-à-dire les accords encadrant le traitement de données entre organisations et prestataires.
Les champs comprennent le document analysé, son nom de fichier, ses annotations, ses métadonnées, la personne ayant réalisé l’analyse, ainsi que le nombre d’éléments encore en attente, acceptés ou rejetés. Ce type d’information peut révéler des éléments confidentiels sur la relation contractuelle et la conformité d’un prestataire.
Une cartographie détaillée des sous-traitants
Le fichier subcontractors.json est particulièrement intéressant. Il contient notamment les noms de sous-traitants, adresses e-mail de contact, responsables, fonctions, statuts d’audit et finalités associées.
- entreprise à l’origine de l’enregistrement et entité concernée ;
- nom et statut du sous-traitant ;
- e-mail de contact et e-mail du responsable ;
- fonction du responsable ;
- statut et date du dernier audit ;
- fréquence des relances et e-mails envoyés ;
- finalité du traitement ;
- historique des modifications ;
- commentaires internes ;
- utilisateurs ayant validé ou rejeté le sous-traitant.
Une telle base peut fournir à un attaquant une véritable cartographie de la chaîne de sous-traitance d’une organisation et identifier les interlocuteurs chargés de sa conformité.
Les demandes Trust Center contiennent aussi des coordonnées externes
Deux autres fichiers concernent le Trust Center. trustcenterclients.json associe des clients à leurs espaces de confiance, tandis que trustcenterrequests.json contient des informations sur les personnes ayant demandé l’accès à certains documents.
On y retrouve notamment le nom du visiteur, son adresse e-mail, son entreprise, une description de sa demande, les documents concernés, le statut de la requête ainsi que l’utilisateur ayant répondu. Cela signifie que des personnes extérieures aux clients directs de Dipeeo pourraient également apparaître dans les données.
Noms, e-mails, téléphones, rôles et champ de mot de passe
Le fichier users.json centralise enfin les informations associées aux utilisateurs : nom, prénom, adresse e-mail, numéro de téléphone, rôle, compte associé, dernière connexion et différentes informations sur les éléments partagés avec l’utilisateur.
La structure comporte également un champ password. Ce sont au total près de 3 000 personnes concernées.
Des journaux techniques sur les migrations internes
Les fichiers migrations.json et migrationlogs.json détaillent également des opérations techniques réalisées sur les données : environnement concerné, mode de migration, nombre de lignes traitées ou échouées, progression, taille des lots, erreurs et utilisateur ayant déclenché l’opération.
Ces informations pourraient aider à mieux comprendre l’architecture interne de la plateforme et son fonctionnement, sans toutefois démontrer à elles seules un accès direct à l’infrastructure de production.
Metabase au centre de cette nouvelle fuite
La publication vise explicitement metabase.dipeeo.fr. Les données semblent donc avoir été consultées ou extraites depuis un environnement Metabase. Cela ne suffit toutefois pas, à ce stade, à démontrer que Metabase constituait lui-même le point d’entrée initial de l’attaque.
Pour les entreprises clientes, le principal risque réside dans le croisement de toutes ces informations : identité des responsables RGPD, sous-traitants, audits, documents, activités et contacts externes. Un attaquant peut exploiter cette connaissance pour construire des campagnes de phishing ou d’usurpation particulièrement crédibles en se faisant passer pour Dipeeo, un DPO, un responsable juridique ou un prestataire connu.