Plus de 100 000 fiches attribuées à Portaleco sont désormais diffusées gratuitement. Le hacker Alduin affirme avoir récupéré environ 103 000 enregistrements contenant les noms et adresses postales de personnes présentes dans les systèmes du spécialiste français des portails, pergolas et clôtures en aluminium.
Les données comprennent un identifiant numérique, le nom, l’adresse complète, le code postal, la ville et le pays. L’archive annoncée pèse environ 14 Mo au format JSONL.
Des adresses résidentielles très précises dans les fichiers
Cyberattaque.org s’est procuré l’échantillon diffusé par le hacker. Les lignes consultées contiennent bien des identités associées à des adresses postales situées partout en France : rue, numéro, lieu-dit, code postal et commune.
En revanche, aucun email, numéro de téléphone, mot de passe ou donnée bancaire n’apparaît dans les champs de cet échantillon. Le périmètre visible est donc essentiellement constitué de données d’identité et de localisation.
103 000 lignes, mais Portaleco revendique seulement 6 000 clients
Un élément invite à ne pas présenter ces 103 000 lignes comme autant de clients ayant acheté un portail. Sur son propre site, Portaleco indique compter plus de 6 000 clients et fabriquer plus de 500 produits sur commande chaque année.
Le volume revendiqué est donc très supérieur à la clientèle annoncée publiquement. La base pourrait également comprendre des prospects, anciennes demandes de devis, contacts commerciaux ou personnes ayant renseigné leurs coordonnées sans finalement passer commande.
Cette hypothèse est cohérente avec le fonctionnement du site. Portaleco propose de nombreux formulaires pour obtenir un devis, télécharger des brochures ou contacter ses équipes. Sa politique de confidentialité indique que ces démarches peuvent conduire à la collecte d’informations personnelles dans le cadre de la relation commerciale.
Le hacker évoque une faille IDOR avec des identifiants séquentiels
Alduin affirme avoir exploité une « sequential IDOR ». Une faille IDOR, pour Insecure Direct Object Reference, apparaît lorsqu’une application utilise un identifiant pour accéder à une ressource sans vérifier correctement si l’utilisateur est autorisé à la consulter.
Dans ce scénario, des fiches portant des identifiants numériques successifs peuvent être interrogées les unes après les autres. Si aucun contrôle d’autorisation efficace n’est effectué côté serveur, un attaquant peut automatiser la récupération d’un grand nombre d’enregistrements.
L’échantillon renforce cette piste : les lignes possèdent effectivement un champ « id » numérique et les valeurs visibles sont proches les unes des autres. Cela reste toutefois un indice et non une démonstration technique complète du point d’entrée utilisé.
Portaleco appartient à l’écosystème du groupe Doitrand
Portaleco commercialise des portails motorisés, pergolas et clôtures en aluminium fabriqués en France et destinés principalement aux particuliers. Le site est édité par la société EUROPORTE, basée à Grézolles dans la Loire, au sein de l’écosystème du groupe Doitrand.
Le groupe explique être spécialisé dans les portes de garage et portails depuis 1935 et emploie environ 160 personnes. Portaleco constitue sa déclinaison orientée vers les équipements extérieurs à installer soi-même.
La nature de l’activité rend les adresses particulièrement sensibles
Une adresse postale est déjà une donnée personnelle sensible lorsqu’elle est associée à une identité. Le contexte Portaleco ajoute une dimension particulière : certaines personnes présentes dans la base peuvent avoir demandé des renseignements ou acheté des équipements destinés directement à leur habitation.
Un attaquant pourrait ainsi utiliser ces informations pour envoyer de faux messages relatifs à un devis, une livraison, une intervention technique, une garantie ou un paiement. Le nom de la victime et son adresse réelle rendraient ces tentatives beaucoup plus crédibles.
Il serait en revanche excessif de déduire de la seule présence d’une personne dans le fichier qu’elle possède effectivement un portail Portaleco ou un équipement de sécurité particulier.
Aucune confirmation publique de Portaleco pour le moment
À ce stade, Cyberattaque.org n’a identifié aucune confirmation publique de Portaleco ou d’EUROPORTE concernant cette fuite.
Le volume d’environ 103 000 lignes et l’exploitation d’une faille IDOR restent donc des affirmations du hacker. L’échantillon montre néanmoins des données structurées et des identifiants numériques compatibles avec le scénario décrit.
Si l’origine de la fuite est confirmée, l’écart entre les plus de 6 000 clients revendiqués publiquement par Portaleco et les quelque 103 000 fiches récupérées sera l’un des principaux points à éclaircir : il pourrait révéler que l’accès concernait bien davantage que les seuls acheteurs de la marque.