Refugilys, un logiciel français de gestion utilisé par des refuges et des associations de protection animale, est visé par une revendication de cyberattaque publiée le 29 octobre 2026. Un hacker utilisant le pseudonyme morphyn1337 affirme avoir exploité une injection SQL et découvert une seconde vulnérabilité permettant de réinitialiser le mot de passe administrateur.
Le pirate a également diffusé un fichier contenant 5 491 fiches d’individus. Cyberattaque.org a analysé ce document, qui renferme notamment des noms, des adresses postales et des numéros de téléphone. Plusieurs anomalies dans les données invitent cependant à la prudence concernant leur origine et leur authenticité.
Développé par Tressolmi, une société informatique installée à Barberaz, en Savoie, Refugilys est une solution hébergée permettant aux associations de gérer leurs animaux, leurs adhérents, leurs dons, leur comptabilité et leurs activités quotidiennes. Selon son site officiel, le logiciel équipait 140 associations en 2022 et comptait plus de 460 utilisateurs quotidiens.
Une injection SQL et une possible prise de contrôle administrateur
Dans sa revendication du 29 octobre, le hacker morphyn1337 affirme avoir identifié deux problèmes de sécurité distincts sur Refugilys.
Le premier serait une vulnérabilité d’injection SQL. Ce type de faille permet, lorsqu’une application traite incorrectement certaines données fournies par un utilisateur, d’interagir de manière non autorisée avec sa base de données.
Selon les droits accordés au compte technique utilisé par l’application, une telle vulnérabilité peut permettre de consulter, modifier ou extraire des informations normalement protégées.
Le pirate affirme également avoir découvert une seconde faille permettant de réinitialiser le mot de passe d’un administrateur et de prendre le contrôle de son compte.
Si cette seconde vulnérabilité est confirmée, ses conséquences pourraient dépasser la simple consultation de données. Un accès administrateur pourrait notamment permettre de modifier certaines informations ou d’accéder aux fonctions de gestion du logiciel.
Ces deux vulnérabilités sont actuellement des affirmations du hacker. Cyberattaque.org n’a pas procédé à leur exploitation et n’a identifié aucune confirmation officielle de l’éditeur.
5 491 fiches analysées : des noms, adresses et numéros de téléphone
Cyberattaque.org s’est procuré et a analysé le fichier CSV diffusé par l’attaquant. Baptisé individusCplt, il comprend exactement 5 491 lignes de données et 43 colonnes nommées, correspondant à un export de fiches individuelles.
Notre analyse a permis de relever les informations suivantes :
- 5 490 fiches disposent d’un champ de nom complet renseigné ;
- 5 420 fiches contiennent une adresse postale ;
- 5 386 fiches comportent un premier numéro de téléphone ;
- 5 316 fiches comportent également un second numéro de téléphone ;
- 25 fiches seulement disposent d’une adresse email renseignée ;
- Des champs précisent la civilité, le code postal, la ville et le pays ;
- D’autres colonnes concernent le statut d’adhérent, les abonnements et d’éventuelles cotisations ou donations.
Le fichier comprend des coordonnées situées principalement en France, avec une forte concentration de communes de Savoie, de Haute-Savoie et des départements voisins.
Les données incluent également des identifiants individuels et des références d’entités, suggérant un export provenant d’un module de gestion des adhérents ou des contacts d’une association.
Des données étonnamment réparties : un possible fichier de démonstration ?
L’examen du fichier révèle toutefois plusieurs incohérences importantes. Les 5 491 lignes ne doivent pas être automatiquement assimilées à autant de personnes réelles victimes d’une fuite.
Premier élément inhabituel : 5 326 fiches sont réparties entre seulement 27 communes, avec environ 200 enregistrements par commune. Une distribution aussi régulière est étonnante pour une base d’adhérents issue de l’activité quotidienne d’une association.
Autre particularité : plus de 5 300 fiches disposent simultanément de deux numéros de téléphone, tandis que seules 25 possèdent une adresse email.
Plus surprenant encore, 5 412 fiches sont marquées avec un statut d’adresse email « Valide » alors qu’aucune adresse email n’est renseignée.
Ces caractéristiques pourraient correspondre à une base utilisée pour des tests, une démonstration ou des informations générées artificiellement. Il pourrait également s’agir d’un export ancien ou atypique, mais son origine exacte reste à établir.
À ce stade, rien ne démontre que les 5 491 fiches correspondent à des adhérents réels d’un refuge. La présence de données structurées ne suffit pas à prouver qu’elles proviennent d’une base de production.
Des informations de dons entre 2023 et 2026, mais aucun historique financier exploitable
Le fichier comprend également des colonnes relatives aux cotisations, aux dons et aux ventes pour les années 2023, 2024, 2025 et 2026.
Ces champs correspondent aux fonctionnalités de Refugilys, qui permet aux associations de suivre les dons, les adhésions et certaines opérations comptables.
Cependant, les colonnes financières sont pratiquement toutes vides ou renseignées avec la valeur zéro. Notre analyse n’a donc pas permis d’identifier un véritable historique de dons ou de cotisations individuelles.
Le fichier examiné ne contient pas non plus de coordonnées bancaires, de mots de passe ou de dossiers vétérinaires identifiables.
Il serait donc incorrect d’affirmer que les informations bancaires des donateurs ou les dossiers des animaux ont été exposés sur la seule base de ce document.
Un logiciel utilisé par de nombreuses associations françaises
Cette affaire attire particulièrement l’attention en raison du rôle de Refugilys dans le secteur de la protection animale.
Sur son site officiel, Tressolmi présente une solution capable de gérer les entrées et sorties d’animaux, les identifications, les soins vétérinaires, les familles d’accueil, les adhérents, les dons et les documents administratifs.
Le logiciel fonctionne directement depuis un navigateur Internet. L’éditeur indique que les applications et les données de ses clients sont hébergées sur des serveurs dédiés et sauvegardées régulièrement.
Une vulnérabilité affectant ce type de plateforme pourrait donc présenter un risque important pour les associations utilisatrices, en particulier si elle permettait d’accéder à plusieurs environnements clients.
Rien ne permet toutefois d’affirmer que les 140 associations mentionnées sur le site de Refugilys ont été compromises. Le fichier analysé ne démontre pas non plus un accès aux données de l’ensemble des utilisateurs du service.
Des risques de fraude si les coordonnées sont authentiques
Si les noms, adresses et numéros de téléphone diffusés correspondent à de véritables personnes, ces informations pourraient être réutilisées dans des tentatives d’escroquerie.
Des messages frauduleux pourraient notamment usurper l’identité d’un refuge ou d’une association de protection animale pour solliciter un don, un renouvellement d’adhésion ou un prétendu règlement administratif.
Le principal risque concernerait alors les appels téléphoniques et les SMS frauduleux, compte tenu du grand nombre de numéros présents dans les fichiers.
La portée réelle de ces risques dépend néanmoins de l’authenticité des coordonnées et de leur éventuelle correspondance avec des personnes existantes.
Refugilys et Tressolmi n’ont pas confirmé la cyberattaque
Au 30 octobre 2026, Cyberattaque.org n’a pas identifié de communication publique de Tressolmi confirmant les vulnérabilités revendiquées ou une intrusion dans ses systèmes.
La revendication de morphyn1337 repose sur deux éléments distincts : l’affirmation d’une injection SQL accompagnée d’une possible prise de contrôle administrateur, et la diffusion d’un fichier de 5 491 fiches individuelles.
Si l’existence du fichier et son contenu ont pu être vérifiés, son origine et le caractère réel des données personnelles restent incertains. La répartition très régulière des fiches entre certaines communes et les anomalies des champs de contact constituent des réserves sérieuses.
L’enjeu principal est désormais de déterminer si les failles décrites par le hacker existent réellement dans Refugilys et si elles touchent un environnement de démonstration ou les systèmes utilisés par les associations clientes.
Source originale : Cyberattaque.org.
