Une fuite particulièrement sensible frappe le Groupe T2MC. Le 1er août 2026, un acteur utilisant le pseudonyme Alduinn a publié des données présentées comme provenant du système RH du groupe, accompagnées de 26 Go de pièces justificatives représentant environ 82 000 fichiers.
Les éléments visibles comprennent des dossiers salariés extrêmement détaillés : identité, adresse, numéro de Sécurité sociale, contrat, salaire horaire, horaires et lieux d’affectation. Le dépôt documentaire contiendrait en parallèle des cartes d’identité recto-verso, RIB, justificatifs de domicile, cartes Vitale et titres de séjour. Le nombre total de salariés concernés n’est pas communiqué.
T2MC, un poids lourd français de la propreté
Le Groupe T2MC, créé en 2007 et basé en Île-de-France, intervient dans le nettoyage industriel, l’entretien de locaux, la santé, l’hôtellerie, l’industrie, le tertiaire et les prestations d’accueil. Le groupe affiche aujourd’hui sur son site 9 500 collaborateurs, 3 500 clients et une présence dans 11 régions françaises.
Ses activités sont réparties entre différentes sociétés et marques, notamment Arc En Ciel, AEC Santé, AEC Tertiaire, Nickel et PEI. Les agents du groupe interviennent directement dans les locaux de ses clients, parfois dans des hôpitaux, écoles, administrations, sites industriels ou établissements recevant du public.
Louvre, Ville de Paris, La Poste, PSA… des références prestigieuses
Le périmètre de T2MC rend l’incident particulièrement notable. Parmi les organisations que le groupe présente publiquement comme lui faisant confiance figurent notamment le Louvre, le Centre Pompidou, la Ville de Paris, La Poste et Pandora pour le tertiaire.
Dans l’industrie, T2MC affiche également des références comme SEB, Fraikin et le groupe PSA. Dans l’hôtellerie, le groupe cite notamment B&B Hotels, Mercure, Staycity et Motel One. Les exemples publiés dans la fuite font par ailleurs apparaître des affectations sur des sites hospitaliers et des bâtiments appartenant à des collectivités.
Des dossiers RH d’un niveau de détail exceptionnel
Les enregistrements diffusés ne ressemblent pas à un simple annuaire du personnel. Ils correspondent à des demandes d’embauche, contrats ou modifications de contrats regroupant de très nombreuses informations sur les salariés :
- nom et prénom ;
- date et lieu de naissance ;
- nationalité ;
- adresse personnelle ;
- adresse e-mail et téléphone ;
- numéro de Sécurité sociale ;
- code salarié et agence de rattachement ;
- nature et type du contrat ;
- qualification ;
- taux horaire ;
- durée hebdomadaire et mensuelle de travail ;
- dates de début et de fin de contrat ;
- motif du contrat ou du remplacement ;
- nom du salarié remplacé ;
- motif d’absence ;
- horaires et lieux précis d’intervention ;
- informations relatives aux titres de séjour et autorisations de travail.
26 Go de cartes d’identité, RIB et cartes Vitale
Le volet documentaire est encore plus préoccupant. Alduinn annonce environ 82 000 fichiers pour 26 Go, principalement au format PDF ou image.
Parmi les catégories de documents revendiquées figurent notamment des pièces d’identité recto-verso, RIB, justificatifs de domicile et cartes Vitale, ainsi que d’autres pièces utilisées lors de la constitution d’un dossier salarié.
La combinaison d’une pièce d’identité, d’un justificatif de domicile, d’un RIB et d’un numéro de Sécurité sociale constitue un ensemble particulièrement exploitable pour des opérations d’usurpation d’identité.
Des informations de santé apparaissent indirectement
Les exemples publiés révèlent également des motifs d’absence ou d’aménagement de contrat pouvant renseigner indirectement sur la situation personnelle ou médicale d’un salarié. Des mentions relatives à une maladie, un mi-temps thérapeutique ou un congé maternité apparaissent notamment dans les dossiers exposés.
Associées à l’identité complète des salariés, ces informations augmentent fortement la sensibilité de la fuite.
Les horaires et lieux de travail des agents également visibles
Les données contiennent aussi les sites d’affectation et les plages horaires précises de certains employés. Plusieurs exemples montrent des interventions dans des hôpitaux, écoles, médiathèques et bâtiments publics.
Ce point dépasse la seule protection des salariés. La connaissance des horaires d’intervention et des sites desservis peut faciliter l’usurpation d’un agent de nettoyage ou la préparation d’opérations d’ingénierie sociale visant les établissements clients.
Une erreur humaine revendiquée plutôt qu’une faille technique
L’auteur affirme ne pas avoir exploité de vulnérabilité technique et attribue son accès à une faiblesse humaine au sein de l’organisation. Aucun détail supplémentaire ne permet de vérifier cette affirmation.
Une campagne de phishing, le vol d’identifiants, une session détournée ou la compromission d’un compte disposant d’un accès au système RH pourraient permettre d’obtenir ce type de données sans exploiter directement une faille logicielle.
Un risque majeur d’usurpation d’identité
La richesse des dossiers rend cette fuite particulièrement dangereuse pour les salariés concernés. Les informations peuvent être utilisées bien au-delà d’une simple campagne de phishing.
- usurpation d’identité avec de véritables justificatifs ;
- fraudes bancaires utilisant les RIB ;
- ouverture frauduleuse de comptes ou de services ;
- faux dossiers administratifs ;
- phishing ciblé contre les salariés ;
- usurpation d’un responsable RH ou d’un manager ;
- attaques contre les entreprises et établissements où interviennent les agents.
Un périmètre qui pourrait dépasser les seuls salariés
Les fichiers visibles associent certains employés à leur société T2MC, à leur responsable et surtout au site client sur lequel ils travaillent. L’incident pourrait donc fournir aux attaquants une cartographie partielle des contrats, des équipes et de l’organisation opérationnelle du groupe chez certains grands clients.
À ce stade, rien n’indique cependant que les systèmes informatiques du Louvre, de La Poste, de la Ville de Paris ou des autres références commerciales de T2MC aient eux-mêmes été compromis.
Une revendication extrêmement sensible encore à confirmer
Le volume annoncé de 26 Go et 82 000 fichiers, ainsi que l’origine exacte de l’accès, n’ont pas encore fait l’objet d’une confirmation publique du Groupe T2MC. Les échantillons publiés montrent néanmoins des données RH structurées associées à plusieurs entités du groupe.
Si l’ensemble du dépôt revendiqué est authentique, l’incident figure parmi les fuites RH les plus sensibles en raison de la concentration de documents d’identité, de données bancaires, de numéros de Sécurité sociale et d’informations professionnelles détaillées.