Près de 30 000 fichiers attribués à Orange, représentant environ 6,5 Go de données, ont été diffusés par un hacker utilisant le pseudonyme « 0xRune ». Cyberattaque.org a pu analyser en exclusivité les fichiers et recenser 29 516 fichiers répartis dans 3 940 répertoires, dont 20 706 tickets Jira et plusieurs milliers de pièces jointes. L’ensemble contient des documents sur des projets internes, des infrastructures informatiques, des déploiements logiciels, des équipements télécoms et des mécanismes de sécurité.
Cette fuite se distingue d’une exposition classique de données clients. Les documents permettent de reconstituer une partie du fonctionnement technique et opérationnel d’Orange, notamment les technologies employées, les projets en cours, certaines architectures informatiques et les échanges entre collaborateurs.
Si la cohérence des fichiers examinés renforce considérablement la crédibilité de la divulgation, Orange n’a pas encore confirmé publiquement l’incident à notre connaissance. Le mode d’accès initial, la date exacte de l’extraction et le nombre de personnes concernées restent inconnus.
29 516 fichiers et 6,5 Go de données : ce que révèle l’analyse
Le vendredi 23 octobre 2026, à 20 h 54, un individu utilisant le pseudonyme 0xRune revendique la publication de données provenant d’un environnement présenté comme le portail « Orange Agir ».
Dans sa publication, il annonce 29 503 fichiers répartis dans 3 940 répertoires. L’analyse réalisée par Cyberattaque.org permet d’établir un comptage légèrement différent : 29 516 fichiers pour exactement 3 940 répertoires, soit seulement 13 fichiers supplémentaires par rapport aux chiffres revendiqués.
L’examen du corpus fait apparaître plusieurs volumes particulièrement significatifs :
- 6,5 Go de données environ ;
- 29 516 fichiers recensés ;
- 3 940 répertoires ;
- 260 répertoires de projets contenant des exports Jira ;
- 20 706 tickets Jira présentant une structure homogène ;
- 12 697 tickets comportant une description non vide ;
- 5 951 tickets contenant au moins un commentaire ;
- 15 212 commentaires recensés au total ;
- 8 705 fichiers présents dans 3 677 répertoires de pièces jointes ;
- 102 documents supplémentaires rassemblés dans un autre dossier.
Ces chiffres donnent une idée de l’ampleur de l’extraction. Il ne s’agit pas de quelques captures d’écran isolées, mais d’un ensemble structuré contenant plusieurs milliers d’enregistrements, des documents associés et des échanges techniques.
Cyberattaque.org a pu parcourir l’arborescence diffusée et examiner des fichiers issus de plusieurs projets distincts. Nous avons volontairement choisi de ne pas publier les noms précis des projets, les adresses internes, les identités des salariés ou les détails permettant de localiser certaines infrastructures.
20 706 tickets Jira issus de 260 projets différents
L’un des éléments les plus significatifs concerne la présence d’une vaste collection de tickets Jira, un outil couramment utilisé par les entreprises pour organiser leurs projets informatiques, gérer leurs incidents et suivre le développement de leurs applications.
Le corpus comprend 20 747 fichiers portant l’extension JSON. Parmi eux, 20 706 présentent le même schéma de ticket, avec notamment une clé d’identification, un résumé, une description et des commentaires.
Cette structure homogène est compatible avec une extraction automatisée depuis Jira ou depuis une application disposant d’un accès aux informations de Jira. Elle ne permet toutefois pas, à elle seule, de déterminer comment les données ont été récupérées.
L’analyse relève également 15 fichiers JSON invalides et 26 autres fichiers correspondant à des structures différentes, comme des configurations ou des descriptions d’interfaces applicatives.
Les tickets comportent des informations sur des projets très variés : infrastructures informatiques, cloud, développement logiciel, architecture, migration, supervision, énergie, support, exploitation et déploiement d’applications.
Le volume des commentaires est particulièrement intéressant. Avec 15 212 éléments de commentaires répartis dans plusieurs milliers de tickets, les documents donnent également accès à une partie des échanges intervenus pendant la réalisation des projets.
Ces discussions peuvent révéler les difficultés rencontrées, les décisions techniques, les changements d’architecture, les corrections envisagées ou les solutions temporaires adoptées par les équipes.
Plus de 8 700 pièces jointes, dont des captures d’écran et des documents techniques
L’extraction ne se limite pas aux tickets. Cyberattaque.org a identifié 3 677 répertoires de pièces jointes contenant 8 705 fichiers, ainsi qu’un autre dossier regroupant 102 documents.
Les formats présents sont particulièrement variés : captures d’écran, documents PDF, présentations, feuilles de calcul, fichiers Word, CSV, archives, messages électroniques, journaux techniques et captures de trafic réseau.
Ces pièces jointes augmentent considérablement la richesse des informations divulguées. Un ticket décrivant une opération technique peut, par exemple, être accompagné d’une capture d’interface, d’un document d’architecture ou d’un tableau détaillant les étapes d’un déploiement.
Dans certains cas, une simple capture d’écran permet de comprendre beaucoup plus rapidement le fonctionnement d’un outil interne qu’une description textuelle. Elle peut montrer l’organisation d’une interface, ses menus, les catégories d’équipements disponibles ou les fonctions accessibles à un utilisateur autorisé.
Pour un attaquant souhaitant préparer une intrusion ou exploiter un compte déjà compromis, ces informations peuvent constituer une aide importante à la reconnaissance des systèmes.
Des documents détaillent les outils de déploiement et les architectures internes d’Orange
Parmi les fichiers examinés par Cyberattaque.org, plusieurs documents décrivent les mécanismes utilisés pour construire, déployer et sécuriser des applications internes.
On y retrouve notamment des informations relatives aux chaînes d’intégration et de déploiement continu, à la gestion des dépôts logiciels, au stockage des composants nécessaires aux applications ou encore aux solutions destinées à protéger les secrets techniques.
Certains tickets documentent également les choix réalisés pendant des migrations, les calendriers de mise en production et les dépendances entre plusieurs composants techniques.
Plus sensible encore, certains échanges évoquent des solutions provisoires utilisées lorsqu’un composant cible n’est pas encore disponible ou qu’une migration n’est pas totalement terminée.
Ces informations ne signifient pas que les applications concernées sont actuellement vulnérables. Elles peuvent néanmoins révéler à un attaquant quelles technologies sont utilisées, quelles protections ont été prévues et quelles parties de l’architecture ont connu des phases de transition.
Cyberattaque.org ne publie volontairement ni les noms des applications concernées, ni les adresses de leurs dépôts, ni les détails techniques permettant de les identifier précisément.
Des outils d’administration de bases de données également documentés
L’analyse met également en évidence plusieurs tickets consacrés à des outils utilisés par les équipes techniques pour administrer des bases de données hébergées sur certaines plateformes internes.
Ces documents présentent notamment les opérations d’administration possibles, les mécanismes de connexion, les procédures de sauvegarde et les méthodes de migration de bases de données entre différents environnements.
Ce type de documentation est particulièrement sensible dans le contexte d’une fuite massive. Il permet de mieux comprendre comment les équipes interagissent avec certains systèmes et quelles opérations peuvent être réalisées depuis leurs outils internes.
Il ne faut toutefois pas confondre la possession d’une documentation avec un accès effectif aux infrastructures. Rien ne prouve que 0xRune dispose des identifiants ou des autorisations nécessaires pour utiliser ces mécanismes.
En revanche, si un autre accès devait être compromis ultérieurement, de tels documents pourraient faciliter la compréhension et l’utilisation de l’environnement concerné.
Des équipements télécoms et électriques apparaissent dans les fichiers
La documentation divulguée ne concerne pas uniquement le développement logiciel. Cyberattaque.org a également observé plusieurs captures et documents relatifs à des équipements techniques utilisés sur des sites Orange.
Certains éléments présentent des interfaces permettant de consulter des informations sur des équipements réseau, leurs caractéristiques techniques et des programmes d’évolution associés.
D’autres documents montrent la présence d’informations relatives à des environnements fibre ou mobile, ainsi qu’à certains équipements et dispositifs d’alimentation électrique.
Les captures peuvent notamment renseigner sur la manière dont les équipements sont répertoriés, présentés ou suivis depuis les outils internes.
Ces informations ne démontrent pas que les équipements peuvent être contrôlés à distance par le hacker. Elles témoignent toutefois de la diversité des projets concernés et du niveau de détail de certaines documentations.
Pour éviter d’exposer davantage ces installations, nous ne reproduisons pas les noms des sites, les références détaillées des équipements ou les éléments permettant de les localiser.
Des informations sur la sécurité interne et les protections techniques
Plusieurs projets examinés abordent directement des questions de cybersécurité : gestion des secrets, protection des déploiements, séparation des environnements informatiques ou sécurisation des composants logiciels.
Certains tickets décrivent des architectures de sécurité, les étapes de leur mise en place et les dispositifs provisoires utilisés pendant certaines transitions.
Ces éléments présentent un risque particulier lorsqu’ils deviennent accessibles à des personnes non autorisées. Un attaquant peut chercher à comprendre les protections existantes, les dépendances entre différents systèmes ou les contraintes techniques rencontrées par les équipes.
Une fuite documentaire de cette nature peut donc faciliter la préparation d’une attaque, même sans fournir directement un accès aux systèmes concernés.
Au moins une valeur ressemblant à une clé technique identifiée
Cyberattaque.org a notamment repéré au moins une valeur technique ressemblant à une clé directement enregistrée dans un ticket.
Sa validité actuelle n’a pas été vérifiée et rien ne permet d’affirmer qu’elle donne encore accès à un service. Nous ne publierons ni cette valeur ni les informations permettant de retrouver précisément son emplacement.
Cette observation illustre néanmoins un risque bien connu des exports massifs d’outils collaboratifs. Au fil des projets, les équipes techniques peuvent intégrer dans leurs tickets des extraits de configuration, des identifiants temporaires, des clés API, des commandes de diagnostic ou des captures de consoles.
La présence de près de 30 000 fichiers rend particulièrement importante la recherche d’éventuels secrets techniques encore actifs.
Une analyse exhaustive serait nécessaire pour déterminer si d’autres informations d’authentification exploitables figurent dans les données publiées. Leur présence éventuelle ne peut pas être déduite du seul volume de l’archive.
15 212 commentaires et des informations sur les collaborateurs
Les 20 706 tickets analysés contiennent également de nombreux échanges entre collaborateurs. Parmi eux, 5 951 tickets possèdent au moins un commentaire, pour un total de 15 212 éléments de commentaires.
Certains échanges font apparaître des noms, des identifiants internes ou des informations sur les personnes intervenant dans les projets concernés.
Ces informations peuvent être exploitées dans le cadre de tentatives de phishing ciblées. Connaître le projet sur lequel travaille un salarié, les outils qu’il utilise ou les difficultés techniques qu’il rencontre permet de construire des messages frauduleux beaucoup plus crédibles.
Un attaquant pourrait notamment chercher à usurper l’identité d’un interlocuteur habituel ou à reprendre le contexte d’un projet pour obtenir des informations supplémentaires.
Cyberattaque.org ne publie pas les identités des collaborateurs identifiés dans les fichiers lorsqu’elles ne sont pas indispensables à la compréhension de l’incident.
À ce stade, le nombre de salariés ou de prestataires dont les informations figurent dans l’ensemble du corpus n’a pas été établi.
Le hacker évoque du « code source », mais la réalité est différente
La publication du hacker utilise notamment l’expression « SOURCE CODE » pour présenter les fichiers divulgués.
L’analyse du corpus conduit cependant à nuancer cette présentation. Il ne s’agit pas d’un dépôt de code source classique, contenant l’arborescence complète d’une application et l’ensemble de ses fichiers de développement.
Seuls sept fichiers portent des extensions courantes de scripts ou de code. L’essentiel des informations est constitué de tickets Jira, de descriptions techniques, de commentaires et de pièces jointes.
Cette distinction ne réduit pas nécessairement la sensibilité de la fuite. Une documentation d’architecture ou des échanges détaillant des mécanismes de sécurité peuvent présenter un intérêt important pour un attaquant, même sans accès au code source complet.
Des documents datés de septembre 2026
Autre élément notable : l’archive ne semble pas se limiter à d’anciens projets abandonnés depuis plusieurs années.
Cyberattaque.org a identifié plusieurs éléments portant la date du 23 septembre 2026. D’autres documents font référence à des échéances et à des projets prévus pour la fin de l’année 2026 ou pour 2027.
Ces informations suggèrent que le corpus contient des données issues d’un environnement encore utilisé récemment.
Elles ne permettent cependant pas de déterminer à quel moment les fichiers ont été extraits. La date de modification ou la date mentionnée dans un document ne correspond pas nécessairement à la date de son exfiltration.
On ignore également si l’auteur de la publication a lui-même obtenu ces données directement depuis les systèmes concernés ou s’il a récupéré une extraction réalisée par un autre acteur.
Une fuite différente d’une base de données clients
Contrairement à de nombreuses cyberattaques révélées ces derniers mois, les fichiers examinés ne correspondent pas à une base massive de clients contenant des millions de noms, d’adresses électroniques ou de numéros de téléphone d’abonnés Orange.
Cyberattaque.org n’a pas identifié de telle base parmi les éléments examinés. Cette observation ne permet toutefois pas d’exclure la présence de données personnelles dans certains documents ou pièces jointes.
La sensibilité de cette divulgation est principalement opérationnelle. Elle concerne des informations qui ne sont normalement pas destinées au public : fonctionnement des applications, architectures informatiques, procédures internes, projets en cours et échanges entre équipes techniques.
Pour une organisation disposant d’infrastructures informatiques et télécoms aussi étendues qu’Orange, la divulgation de ces informations peut représenter un risque de sécurité indépendant du nombre de clients potentiellement concernés.
Comment ces données pourraient-elles être exploitées ?
La préparation d’une cyberattaque nécessite souvent une phase de reconnaissance : identifier les technologies d’une entreprise, comprendre l’organisation de ses outils, repérer les personnes disposant de responsabilités techniques et déterminer les relations entre les systèmes.
Un corpus contenant plus de 20 000 tickets de projets, des milliers de pièces jointes et plusieurs années d’échanges peut fournir une quantité importante d’informations à cet effet.
Les documents pourraient notamment être utilisés pour :
- Préparer des tentatives de phishing ciblées contre des collaborateurs ou des prestataires ;
- Identifier certaines technologies et certains composants présents dans les environnements techniques ;
- Comprendre les dépendances entre applications et les procédures de déploiement ;
- Rechercher d’éventuels secrets techniques conservés dans les tickets ou leurs pièces jointes ;
- Faciliter la reconnaissance d’outils internes dans le cas où un accès serait compromis ultérieurement.
Ces risques restent des scénarios possibles et non des conséquences déjà constatées. Rien dans les éléments examinés ne démontre que le hacker peut aujourd’hui prendre le contrôle du réseau Orange, accéder aux bases de données opérationnelles ou interrompre des services télécoms.
La principale inquiétude concerne donc la quantité d’informations mises à disposition de personnes potentiellement malveillantes, et la possibilité que certaines d’entre elles soient réutilisées dans de futures opérations.
Comment 0xRune a-t-il obtenu ces fichiers ?
Malgré l’ampleur des données diffusées, le mode opératoire exact reste inconnu.
Le hacker n’apporte pas d’éléments permettant d’identifier avec certitude le point d’entrée, le compte éventuellement compromis ou le système utilisé pour récupérer les documents.
Plusieurs hypothèses pourraient expliquer une telle extraction : l’utilisation d’un compte disposant d’autorisations étendues, l’accès à une sauvegarde, une vulnérabilité affectant un outil de gestion de projets ou encore la compromission d’un système disposant déjà d’un accès aux données.
Aucune de ces hypothèses n’est confirmée. La structure des exports ne suffit pas à déterminer si l’environnement Jira lui-même a été compromis.
Il est également impossible, sur la seule base des fichiers, d’établir la durée d’un éventuel accès non autorisé ou de déterminer si celui-ci serait toujours actif.
Aucun lien établi avec les récentes perturbations des services Orange
Cette publication intervient alors que plusieurs perturbations techniques ont récemment affecté des services Orange.
Il convient toutefois de ne pas rapprocher ces événements sans preuve. Aucun élément examiné par Cyberattaque.org ne permet d’établir un lien entre la fuite revendiquée par 0xRune et les interruptions de service observées.
Les documents décrivent de nombreux projets et environnements techniques, mais ne démontrent ni une opération de sabotage ni une prise de contrôle des infrastructures de télécommunications.
Orange n’a pas encore confirmé cette fuite de données
Au moment de notre analyse, aucune communication publique d’Orange confirmant l’extraction de ces près de 30 000 fichiers n’avait été identifiée.
L’absence de confirmation officielle ne signifie toutefois pas que les documents diffusés sont fictifs. L’analyse du corpus révèle une structure cohérente, des milliers de tickets partageant le même format, des pièces jointes organisées par projet et des informations techniques détaillées.
Ces observations apportent un poids important à la revendication de 0xRune, sans permettre de confirmer indépendamment l’ensemble de son récit.
Plusieurs questions demeurent : quelle source a permis de constituer cette archive, quels systèmes et projets sont réellement concernés, combien de collaborateurs sont identifiables et des informations d’authentification encore valides figurent-elles dans les fichiers ?
La question de l’origine de l’extraction reste également essentielle pour déterminer si les mesures de sécurité existantes ont été contournées et si d’autres données pourraient avoir été accessibles.
Avec 29 516 fichiers, 20 706 tickets Jira et plus de 15 000 commentaires, cette affaire illustre les risques liés à la divulgation massive d’outils de gestion de projets. Même sans base de clients ou dépôt complet de code source, de tels documents peuvent exposer une partie importante de l’organisation technique d’une entreprise.
Le danger ne réside donc pas uniquement dans les données déjà rendues publiques, mais aussi dans les informations qu’elles pourraient fournir pour préparer de futures attaques.
Source originale : Cyberattaque.org.
