Le groupe de hackers BlackHatSect0r revendique une compromission majeure des systèmes informatiques de Quorum Groupe, un prestataire français travaillant notamment avec E.Leclerc, Renault, JCB et PPG. Les cybercriminels affirment avoir obtenu un accès administrateur root, extrait une base de données contenant 859 419 enregistrements, récupéré 49 Go de fichiers et modifié plusieurs pages de l’infrastructure informatique de l’entreprise.
Cyberattaque.org s’est procuré et a analysé une partie des données diffusées. Les fichiers transmis représentent 156 264 enregistrements répartis dans 22 tables CSV, sans compter les doublons éventuels entre les tables. Un index supplémentaire référence 56 150 chemins de documents PDF liés aux activités de production graphique.
Les documents contiennent des informations sur les fournisseurs, les catalogues de produits, les prestations commerciales, les livraisons et les comptes utilisateurs. Plusieurs fichiers concernent directement des activités réalisées pour SIPLEC et GALEC, deux structures du mouvement E.Leclerc.
Un prestataire de grandes enseignes françaises dans le viseur
Quorum Groupe est un acteur français spécialisé dans les arts graphiques, la conception de packaging, la prépresse et la préparation de supports destinés à l’impression. Son activité implique le traitement de catalogues de produits, de fichiers graphiques et d’informations commerciales pour différents clients.
L’une des sociétés associées au groupe, Quorum Graphic Media, est implantée à Rungis, dans le Val-de-Marne. Elle exerce notamment des activités de prépresse et de création graphique.
Cette précision est importante : les cybercriminels présentent Quorum comme une entreprise de services numériques, mais son activité principale connue relève des arts graphiques et de la communication visuelle.
BlackHatSect0r affirme avoir pris le contrôle des serveurs
Dans sa revendication, BlackHatSect0r, associé aux pseudonymes BabidiGhost et GhostHunters, affirme avoir compromis un serveur applicatif de Quorum ainsi que plusieurs éléments de son infrastructure informatique.
Le groupe revendique notamment un accès root, correspondant au niveau de privilèges le plus élevé sur un système Linux. Un tel accès permettrait théoriquement de consulter, modifier ou supprimer les données et configurations accessibles depuis le serveur concerné.
Les attaquants affirment également avoir réalisé des défigurations de pages web sur trois points d’accès, dont un serveur applicatif et un outil de supervision réseau. Ils déclarent avoir remplacé les pages par un message revendiquant leur intrusion.
Plus préoccupant, le groupe prétend avoir supprimé des bases de données, des sauvegardes et des fichiers présents sur le serveur après leur exfiltration. Il évoque également un chiffrement AES-256 des données récupérées.
Ces opérations de prise de contrôle, de défiguration et de destruction n’ont pas pu être vérifiées indépendamment par Cyberattaque.org. Les fichiers examinés apportent en revanche des éléments concrets concernant l’extraction de données.
859 419 lignes revendiquées, plus de 156 000 examinées
BlackHatSect0r annonce la récupération d’une base applicative baptisée KATTY, comprenant 64 tables et 859 419 enregistrements.
Les fichiers obtenus par Cyberattaque.org permettent de confirmer l’existence d’exports structurés provenant de plusieurs composants de cette application. En ne comptabilisant qu’une seule version de chaque table, les données analysées représentent 156 264 lignes.
Parmi les principales tables examinées :
- 38 067 références de produits dans le catalogue ;
- 44 113 entrées dans l’historique des modifications de produits ;
- 36 771 enregistrements de production et de comptabilité ;
- 25 963 associations entre produits et fournisseurs ;
- 5 938 enregistrements de livraison ;
- 1 450 fiches fournisseurs ;
- 242 fiches de contacts professionnels ;
- 55 comptes utilisateurs de l’application.
Ces chiffres diffèrent partiellement de ceux avancés par BlackHatSect0r, qui évoque notamment 25 892 produits, 1 011 fournisseurs et 168 contacts clients. Les écarts pourraient correspondre à des critères de sélection différents ou à plusieurs versions des exports, mais aucune explication n’a été apportée.
La cohérence des identifiants et des relations entre les différentes tables renforce néanmoins la crédibilité d’une extraction provenant d’une véritable application de gestion.
E.Leclerc, Renault, JCB et PPG apparaissent dans les données
Les fichiers examinés permettent d’identifier plusieurs entreprises dont les activités commerciales apparaissent dans l’environnement de Quorum.
Le cas le plus significatif concerne E.Leclerc. Les tables contiennent des références explicites à SIPLEC et GALEC, ainsi que des informations sur les catalogues, les produits et les échanges avec des fournisseurs.
Dans le fichier des contacts professionnels, Cyberattaque.org a notamment retrouvé 136 adresses électroniques utilisant le domaine siplec.com, auxquelles s’ajoutent 11 adresses utilisant le domaine siplec.leclerc.
D’autres contacts utilisent des domaines professionnels associés à PPG, JCB, Renault et GALEC. Les informations comprennent des noms, prénoms, adresses email et parfois des numéros de téléphone.
La présence de ces entreprises dans les fichiers ne signifie pas qu’elles ont elles-mêmes été piratées. Les données semblent correspondre aux relations commerciales et aux prestations gérées par Quorum.
55 comptes internes et deux super-administrateurs identifiés
L’extraction comprend également une table d’authentification intitulée auth_user, caractéristique d’une application développée avec le framework Python Django.
Cyberattaque.org y a recensé 55 comptes utilisateurs, dont 40 associés à des adresses électroniques utilisant le domaine quorumfrance.com. Parmi ces comptes, 14 sont marqués comme actifs et deux disposent du statut de super-administrateur.
Les enregistrements contiennent notamment des identifiants de connexion, des noms, des adresses email, des dates de dernière connexion et des empreintes de mots de passe.
Les mots de passe sont protégés par le mécanisme PBKDF2-SHA256 avec 15 000 itérations. Ils ne sont donc pas directement lisibles en clair, mais leurs empreintes pourraient faire l’objet de tentatives de cassage hors ligne.
Le groupe revendique 48 identités liées à Quorum. Ce chiffre ne correspond pas exactement aux 55 comptes recensés dans les fichiers examinés. Rien ne permet non plus d’établir que les comptes administrateurs figurant dans l’export restent utilisables.
Plus de 56 000 documents PDF référencés dans l’archive
BlackHatSect0r affirme avoir exfiltré 49 Go de fichiers multimédias et de documents provenant des systèmes de Quorum.
Cyberattaque.org a pu examiner un index contenant précisément 56 150 chemins de fichiers PDF distincts. Ces références correspondent notamment à des maquettes, des supports de packaging, des étiquettes, des documents de mise en page et des fichiers préparatoires à l’impression.
Une partie importante des documents porte sur des produits destinés au réseau E.Leclerc : accessoires automobiles, textile, papeterie, décoration, outillage ou encore équipements domestiques.
D’autres répertoires font référence à des projets réalisés pour JCB et PPG, avec des supports commerciaux et des documents graphiques.
L’index confirme l’existence d’une arborescence documentaire détaillée, mais pas la possession effective des 56 150 PDF par les attaquants. Le volume revendiqué de 49 Go reste également à confirmer.
Des identifiants techniques, des VPN et des certificats également revendiqués
La revendication de BlackHatSect0r va au-delà des informations commerciales.
Les attaquants affirment avoir récupéré des identifiants de bases de données, des paramètres SMTP, des secrets applicatifs, des configurations OpenVPN et des certificats au format .p12.
Si ces éléments sont authentiques et encore valides, leur exposition pourrait représenter un risque important. Certains secrets techniques peuvent permettre d’authentifier des applications, d’utiliser des services tiers ou de faciliter l’accès à des environnements normalement réservés.
Les fichiers CSV analysés ne permettent cependant pas de confirmer la présence ni la validité de ces secrets. Cyberattaque.org n’a pas vérifié l’existence d’identifiants permettant actuellement de se connecter aux serveurs de Quorum.
Des données récentes malgré des archives remontant à 2015
Les données présentent une profondeur historique importante. Certaines opérations de production remontent à 2015, tandis que les catalogues et les documents graphiques couvrent plusieurs années d’activité.
BlackHatSect0r affirme également détenir des sauvegardes de production de 2020 et 2022, représentant environ 153 Mo. Ces sauvegardes n’ont pas été fournies parmi les éléments analysés.
Les fichiers examinés montrent toutefois une activité plus récente. L’historique des modifications de produits contient des opérations jusqu’au 10 juillet 2026. Des comptes utilisateurs présentent également des connexions enregistrées jusqu’au 14 juillet 2026.
Cette proximité temporelle suggère que les exports proviennent d’un environnement contenant encore des données récentes. Elle ne prouve toutefois pas que les cybercriminels ont accédé aux systèmes au mois de juillet ni que leur accès serait toujours actif.
Un risque pour les relations commerciales et les accès professionnels
La sensibilité de cette fuite concerne principalement les informations internes et commerciales, plutôt qu’une base massive de consommateurs particuliers.
Les contacts professionnels, les références de produits, les historiques de production et les informations de facturation pourraient être utilisés pour préparer des tentatives de phishing ciblées ou des fraudes aux fournisseurs.
Un acteur malveillant connaissant les noms des interlocuteurs, les projets suivis et les prestations facturées pourrait notamment usurper l’identité d’un partenaire commercial afin de réclamer un paiement ou de solliciter des informations supplémentaires.
Le risque serait encore plus important si les identifiants techniques et les certificats revendiqués par BlackHatSect0r étaient réellement présents et toujours actifs.
Une extraction crédible, mais la prise de contrôle totale reste à démontrer
Les éléments analysés par Cyberattaque.org donnent un poids important à la revendication de BlackHatSect0r. Les fichiers présentent une structure cohérente, des relations entre plusieurs tables, des historiques d’activité et des informations commerciales détaillées correspondant à l’activité de Quorum.
La présence de plus de 156 000 enregistrements dans les exports examinés confirme que les cybercriminels ont diffusé un ensemble conséquent de données attribuées à l’entreprise.
En revanche, les affirmations concernant l’accès root, les 859 419 lignes de la base complète, les 49 Go de fichiers, les défigurations et la suppression des sauvegardes ne sont pas indépendamment confirmées.
Au moment de notre analyse, aucune communication publique de Quorum Groupe confirmant l’ensemble des faits revendiqués n’a été identifiée.
Cette affaire illustre néanmoins un risque majeur pour les entreprises travaillant avec de grands groupes : la compromission d’un prestataire peut exposer des informations concernant plusieurs clients importants, sans qu’une intrusion directe dans leurs propres systèmes soit nécessaire.
Source originale : Cyberattaque.org.
