Scalingo confirme une fuite de données concernant environ 90 000 personnes après la compromission de son instance interne de Metabase. Des attaquants ont exploité une faille critique permettant d’obtenir des droits administrateur sans être authentifié et deux groupes distincts sont parvenus à extraire des données.
L’attaque a commencé le 8 août 2026. Scalingo a détecté le problème le 10 août, mis son service Metabase hors ligne et lancé une analyse forensic. L’entreprise a depuis notifié la CNIL et informé les clients concernés.
Scalingo, un fournisseur cloud français
Scalingo est une plateforme cloud française proposant des services de PaaS et de bases de données managées. Elle permet aux entreprises et développeurs de déployer et exploiter leurs applications sans gérer directement l’infrastructure sous-jacente.
Une faille Metabase critique avec un score de 10 sur 10
Le point d’entrée est la vulnérabilité CVE-2026-72898 affectant Metabase, avec un score CVSS maximal de 10.0. Il s’agit d’une injection SQL exploitable à distance sans authentification, susceptible de conduire à l’obtention d’un accès administrateur sur une instance vulnérable.
Metabase avait rendu publique la vulnérabilité le 6 août. Selon la chronologie publiée par Scalingo, le premier attaquant a commencé ses requêtes malveillantes le 8 août à 1 h 03 et avait terminé son extraction seulement une minute plus tard. Un deuxième attaquant a procédé à une autre extraction quelques heures plus tard.
Trois groupes d’attaquants ont réussi à exploiter la faille
L’analyse de Scalingo a identifié trois groupes distincts d’activités malveillantes ayant réussi à exploiter la vulnérabilité. Deux ont utilisé leur accès pour exfiltrer des informations depuis l’entrepôt de données analytique interne. Le troisième aurait tenté d’établir un mécanisme permettant de maintenir son accès au système.
90 000 personnes concernées par les données volées
Scalingo confirme que les jeux de données extraits contiennent des informations relatives à environ 90 000 personnes. La nature exacte des données varie selon les utilisateurs et les services utilisés.
- noms, noms d’utilisateur, adresses e-mail, entreprises et localisation ;
- identifiants techniques et informations sur les comptes Scalingo ;
- dates de création et de dernière connexion, statut et rôle du compte ;
- information indiquant si l’authentification multifacteur est activée ;
- informations associées aux profils GitHub ;
- certaines informations de facturation, dont le nom du client, l’entreprise et le statut du paiement ;
- noms et caractéristiques techniques d’applications et de bases de données ;
- informations relatives aux sauvegardes, restaurations, maintenances ou changements d’offre ;
- noms de certaines variables d’environnement.
Pas de mots de passe ni de données bancaires
Scalingo précise que plusieurs informations particulièrement sensibles ne figurent pas dans les données exfiltrées. Les mots de passe, données bancaires, secrets MFA, codes de récupération, jetons d’accès GitHub ou GitLab et clés de chiffrement ne sont pas concernés.
Le code source des applications, le contenu des bases de données clients et leurs sauvegardes n’ont pas non plus été récupérés. Si les noms de certaines variables d’environnement ont été exposés, leurs valeurs ne l’ont pas été.
Les applications et bases de données des clients n’ont pas été compromises
L’incident concerne l’entrepôt de données analytique interne de Scalingo. L’entreprise indique n’avoir identifié aucun accès non autorisé aux applications de production de ses clients, ni aux bases de données de production ou aux informations qu’elles contiennent.
Un risque de phishing particulièrement ciblé
Les données récupérées peuvent néanmoins être utilisées pour préparer des campagnes de phishing et d’ingénierie sociale très crédibles. Un attaquant connaissant le nom d’une entreprise, les coordonnées d’un utilisateur, les services Scalingo qu’elle exploite ou certaines informations de facturation dispose de nombreux éléments pour personnaliser un faux message.
Scalingo recommande donc une vigilance particulière face aux messages demandant de changer un mot de passe, de réaliser un paiement ou de suivre un lien de connexion inhabituel.
La faille est désormais corrigée
Scalingo a mis hors ligne son instance Metabase concernée, appliqué le correctif, lancé la rotation des identifiants techniques potentiellement exposés et renforcé sa surveillance. Le vecteur d’attaque est désormais considéré comme contenu, mais le service Metabase interne reste hors ligne par précaution.
Les clients qui exploitent eux-mêmes Metabase sur Scalingo avec une version vulnérable doivent également effectuer une mise à jour. Scalingo avertit qu’une instance Metabase non corrigée peut permettre une compromission complète des données qu’elle contient et des services auxquels elle est connectée.