Evy, entreprise française spécialisée dans les services d’assurance et de protection de produits, fait l’objet d’une revendication de cyberattaque par le collectif X-VDP-X. Les attaquants affirment avoir exfiltré plusieurs bases contenant notamment des informations sur les contrats d’assurance, sinistres, transactions et paiements.
Selon la revendication, l’opération aurait été menée par un membre utilisant le pseudonyme diable’fire. Les cybercriminels annoncent 16 bases de données, 2 645 tables et environ 238 Mo de données, ainsi que 13 870 comptes et des accès administrateur et SMTP.
Evy, spécialiste de l’assurance intégrée
Evy fournit des solutions permettant d’intégrer des assurances, extensions de garantie et protections directement dans le parcours d’achat de commerçants et de plateformes. Son activité implique notamment la gestion de contrats, souscriptions, paiements et déclarations de sinistres.
Une interface Metabase apparaît dans les preuves publiées
Une des captures diffusées par les attaquants montre clairement une interface Metabase, un outil de business intelligence utilisé pour interroger des bases de données et construire des tableaux de bord internes.
L’interface visible semble appartenir à un environnement analytique d’Evy. Plusieurs collections apparaissent dans le menu, avec des espaces consacrés notamment aux sinistres, contrats, cartes, conformité, partenaires de distribution et opérations. Des requêtes de suivi relatives aux contrats et aux dossiers de sinistres sont également visibles.
La présence de Metabase est importante : ce type d’outil peut être connecté à plusieurs sources de données internes et offrir une vue centralisée sur leur contenu. La capture ne permet toutefois pas de déterminer comment les attaquants ont obtenu cet accès, ni si Metabase constitue lui-même le point d’entrée de la cyberattaque.
Des données transmises à Cyberattaque.org
Depuis la publication de la revendication, le hacker a également transmis à Cyberattaque.org un échantillon de données présenté comme provenant des systèmes d’Evy. Les éléments consultés contiennent notamment des informations relatives à des membres, à leur organisation et leur rôle, ainsi que des enregistrements liés à des paiements et à des dossiers de sinistre.
L’analyse de cet échantillon montre une cohérence technique notable. Certains comptes sont associés à des identifiants d’organisation et d’utilisateur, à des rôles tels que « USER_ROLE_BUSINESS_OWNER » ainsi qu’à des restrictions liées aux magasins physiques. Les identifiants utilisés suivent par ailleurs une structure temporelle cohérente avec les dates de création présentes dans les mêmes enregistrements.
Dans l’un des exemples analysés, l’horodatage intégré à un identifiant utilisateur correspond ainsi, à quelques centaines de millisecondes près, à la date de création enregistrée dans la base. L’organisation associée avait quant à elle été créée auparavant. Ces concordances renforcent la crédibilité technique de l’échantillon, sans permettre à elles seules de valider l’intégralité du volume revendiqué par l’attaquant.
D’autres lignes concernent des opérations financières avec notamment un identifiant de client, un magasin, une devise, un marché, des dates de création et de mise à jour ainsi qu’une référence de sinistre. Une opération consultée est explicitement décrite comme une compensation associée à un dossier de sinistre, ce qui apparaît cohérent avec l’activité d’assurance d’Evy.
16 bases et 2 645 tables revendiquées
Les cybercriminels affirment avoir exfiltré l’intégralité de plusieurs bases, soit 16 bases et 2 645 tables pour environ 238 Mo. Ils évoquent également des informations concernant 13 870 membres ou comptes.
Les bases annoncées concerneraient notamment les offres souscrites, transactions, cartes, contrats d’assurance, sinistres et paiements. L’échantillon transmis à Cyberattaque.org contient effectivement des données liées aux paiements ainsi que des références associées à des cartes, dont des informations comme une date d’expiration et des identifiants internes.
L’attaquant affirme par ailleurs à Cyberattaque.org disposer des données complètes des cartes sous une forme chiffrée et indique qu’il ne lui resterait qu’à les déchiffrer pour obtenir l’intégralité des numéros. Cyberattaque.org n’a toutefois pas été en mesure de vérifier que ces données peuvent effectivement être déchiffrées ni que des numéros complets de cartes bancaires sont actuellement accessibles à l’attaquant.
Contrats et sinistres parmi les données revendiquées
La présence de données relatives aux contrats d’assurance et aux sinistres rend cette fuite particulièrement sensible. Selon le contenu exact des tables récupérées, elles pourraient permettre de connaître le contexte d’une souscription, un produit assuré, une transaction ou l’existence d’un dossier de sinistre.
Ces informations peuvent ensuite être utilisées pour construire des attaques de phishing très crédibles, par exemple en faisant référence à un véritable contrat, à une demande d’indemnisation ou à un remboursement attendu.
Des accès administrateur et SMTP également revendiqués
X-VDP-X affirme également disposer d’un accès administrateur ainsi que d’un accès SMTP. Si ces accès étaient encore valides, ils pourraient potentiellement permettre d’étendre la compromission ou d’abuser de moyens de communication associés à l’entreprise.
Ces éléments proviennent toutefois directement de la revendication et leur portée réelle reste à confirmer.
Une revendication désormais étayée par un échantillon
À ce stade, les chiffres de 13 870 comptes, 16 bases, 2 645 tables et 238 Mo restent ceux avancés par les cybercriminels. En revanche, la capture de l’environnement Metabase et surtout les données directement transmises à Cyberattaque.org apportent désormais des éléments supplémentaires à la revendication.
La cohérence observée entre les identifiants, les horodatages, les rôles utilisateurs et les données métier rend l’échantillon consulté crédible. Elle ne permet cependant pas de confirmer que l’attaquant possède l’intégralité des bases annoncées, ni de déterminer précisément le volume de données personnelles effectivement exfiltrées.
Le mode d’accès initial, le périmètre exact des informations récupérées et la persistance éventuelle des accès revendiqués restent donc à déterminer.