Le Syndicat Départemental d’Énergie de l’Allier (SDE 03) fait l’objet d’une importante revendication de cyberattaque par le collectif X-VDP-X. Les attaquants affirment avoir exfiltré l’intégralité de plusieurs bases de données et obtenu des accès administrateur et SMTP.
Selon la revendication publiée par le groupe, l’opération aurait été menée par un membre utilisant le pseudonyme diable’fire. Les cybercriminels annoncent 7 bases de données, 2 440 tables et environ 238 Mo de données, avec des informations concernant 4 122 personnes.
Le SDE 03, un acteur public majeur de l’énergie dans l’Allier
Le SDE 03 est un syndicat public chargé notamment de missions liées aux réseaux d’électricité et de gaz, à l’éclairage public et à la transition énergétique. Il intervient auprès des communes et intercommunalités du département de l’Allier.
La nature publique de l’organisme et les relations qu’il entretient avec de nombreuses collectivités rendent particulièrement sensibles les données administratives, contractuelles et financières susceptibles d’avoir été récupérées.
Une interface Metabase administrateur apparaît dans les preuves
Une capture diffusée par les attaquants montre ce qui semble être l’interface d’administration d’une instance Metabase du SDE 03. Le nom de l’instance apparaît comme « SDE 03 » et son URL est associée au sous-domaine metabase.sde03.fr.
La capture montre l’accès aux paramètres généraux de Metabase, mais également aux sections consacrées aux bases de données, personnes, autorisations, intégrations et métadonnées des tables. Un tel niveau d’accès pourrait permettre de visualiser les différentes sources connectées à l’outil analytique.
Une autre preuve montre plusieurs ensembles portant notamment les noms Extranet_V1, Extranet_V2, Imports_fichiers_CSV, Mtdata, Sample_Data, Synelec et Test_HomeAssistant. Ces captures ne permettent toutefois pas, à elles seules, de déterminer le contenu exact de chacune de ces sources.
IBAN, identités, contrats et factures revendiqués
X-VDP-X affirme avoir extrait des informations concernant 4 122 personnes. Les données annoncées comprennent notamment :
- noms et prénoms ;
- adresses ;
- numéros de téléphone ;
- IBAN ;
- contrats ;
- factures ;
- numéros SIRET et informations relatives à des structures.
La présence d’un IBAN ne permet pas, à elle seule, de vider un compte bancaire. Associé à une identité, une adresse, une facture et un véritable contexte contractuel, il peut néanmoins faciliter des fraudes au mandat, tentatives d’usurpation ou campagnes de phishing extrêmement ciblées.
7 bases et plus de 2 400 tables annoncées
Les attaquants parlent d’une exfiltration complète de 7 bases regroupant 2 440 tables. Ce chiffre laisse entrevoir un périmètre bien plus large qu’un simple fichier de contacts, même si le contenu et la taille réelle de chaque base restent à vérifier.
La présence apparente d’un Metabase est particulièrement intéressante dans ce contexte : ce type d’outil de business intelligence peut agréger et interroger plusieurs bases distinctes depuis une même interface. Rien ne permet cependant d’affirmer que Metabase constitue le point d’entrée initial de l’attaque.
Un accès SMTP également revendiqué
Le collectif affirme enfin disposer d’un accès administrateur et d’un accès SMTP. Si ce dernier était réellement fonctionnel, il pourrait augmenter le risque d’usurpation de communications provenant du syndicat ou faciliter des attaques dirigées contre ses partenaires et collectivités.
Ces accès et leur niveau de privilège réel restent toutefois revendiqués uniquement par les attaquants à ce stade.
Des collectivités et partenaires potentiellement ciblés par phishing
Le principal risque vient du croisement des informations. Des contrats, factures, IBAN, identités et coordonnées professionnelles peuvent fournir suffisamment de contexte pour imiter une relation existante et envoyer une fausse demande de paiement ou un changement frauduleux de coordonnées bancaires.
À ce stade, les chiffres de 4 122 personnes, 7 bases, 2 440 tables et 238 Mo proviennent de X-VDP-X. Les captures de l’environnement Metabase apportent des éléments concrets à la revendication, mais le périmètre complet de l’exfiltration et le mode d’accès initial restent à confirmer officiellement.