Qui a envoyé un email, à qui, depuis quelle adresse IP et à quel moment ? Ce sont précisément les informations que pourrait révéler une fuite attribuée à SolNet, un fournisseur suisse d’accès à Internet et de services de messagerie. Ce samedi 31 octobre 2026, un hacker utilisant le pseudonyme ChimeraZ annonce la mise en vente de 6 804 enregistrements provenant de l’opérateur.
Cyberattaque.org a examiné 496 lignes d’échantillons réparties dans quatre fichiers CSV. Elles contiennent des adresses email, des identifiants de comptes, des adresses IP et des historiques de tentatives de connexion. Certaines informations permettent également de retrouver les destinataires de messages envoyés depuis des comptes de messagerie.
Fondé en 1996 par BSE Software GmbH, SolNet est un opérateur basé à Soleure, en Suisse. L’entreprise propose des connexions Internet, de la téléphonie, de la télévision numérique, des services de messagerie et des solutions d’hébergement destinées aux particuliers comme aux entreprises.
Une base de 6 804 enregistrements proposée à la vente
La revendication a été publiée le 31 octobre 2026 à 16 h 13. ChimeraZ affirme disposer d’une base de 665 Ko contenant 6 804 lignes, qui concerneraient environ 5 000 personnes.
Selon sa présentation, les données sont réparties entre quatre ensembles :
- Environ 3 200 entrées de destinataires de messages électroniques ;
- Environ 2 100 transactions de messagerie, retraçant des envois d’emails ;
- 793 événements d’authentification échouée ;
- 540 fiches de comptes, associées à des statistiques d’utilisation.
Le terme « transactions » ne désigne pas ici des opérations bancaires, mais des événements techniques liés à la transmission de messages électroniques.
Les 6 804 lignes annoncées ne correspondent pas nécessairement à autant de personnes. Un même compte peut apparaître dans plusieurs fichiers et un utilisateur peut générer de nombreuses traces de connexion ou d’envoi.
Des historiques qui permettent de savoir qui communique avec qui
L’élément le plus intéressant de cette publication concerne les journaux d’envoi de messages. Le fichier présenté comme un historique de transactions contient des informations techniques habituellement utilisées pour superviser le fonctionnement d’un serveur de messagerie.
Dans les 32 transactions examinées par Cyberattaque.org, nous avons relevé 25 comptes expéditeurs différents, 25 adresses IP et 32 identifiants de messages. Les enregistrements concernent des emails envoyés le 23 octobre 2026.
Les champs disponibles permettent notamment d’identifier :
- La date et l’heure d’envoi d’un message ;
- L’identifiant du compte expéditeur ;
- L’adresse IP associée à l’envoi ;
- Un identifiant technique unique du message ;
- Les adresses email des destinataires, parfois plusieurs pour un même envoi ;
- Le nom du fichier journal à l’origine de l’enregistrement.
Ces 32 transactions permettent d’identifier 49 adresses de destinataires distinctes. Le fichier de destinataires fourni séparément contient quant à lui 32 adresses réparties entre 25 domaines de messagerie.
Aucun corps de message ni pièce jointe n’apparaît dans les échantillons examinés. Les informations peuvent néanmoins révéler l’existence d’échanges entre des particuliers, des entreprises ou des organisations, même sans connaître le contenu des conversations.
Des tentatives de connexion aux boîtes mail également dévoilées
Un autre fichier concerne directement les accès à la messagerie. Intitulé failed_logins, il répertorie des tentatives d’authentification échouées.
L’échantillon contient 399 événements concernant 125 identifiants de comptes différents et 149 adresses IP distinctes. Les événements sont datés du 11 au 24 octobre 2026.
Certains comptes font l’objet de nombreuses tentatives. Dans l’extrait analysé, un identifiant apparaît ainsi dans 38 événements d’échec, tandis qu’une même adresse IP revient à 42 reprises.
Ces répétitions peuvent correspondre à des erreurs de configuration, à des logiciels de messagerie utilisant de mauvais identifiants ou à des tentatives automatisées de découverte de mots de passe.
Il serait cependant incorrect de considérer chaque adresse IP comme celle d’un pirate. De même, une tentative de connexion échouée ne signifie pas qu’un compte a été compromis.
Les journaux permettent surtout d’observer l’activité d’authentification associée à certains comptes, ce qui constitue déjà une information privée sur l’utilisation du service.
Des fiches de comptes enrichies avec leurs habitudes de messagerie
Le fichier customers.csv est différent d’une base clients traditionnelle contenant des noms, adresses postales et informations de facturation.
Il ressemble davantage à une synthèse de l’activité de comptes de messagerie, constituée à partir de plusieurs journaux techniques.
Dans les 33 fiches examinées, chaque ligne comporte un identifiant de compte et une adresse email supposée, ainsi que plusieurs statistiques :
- Les dates de première et dernière activité observées ;
- Le nombre d’emails envoyés ;
- Le nombre d’échecs de connexion ;
- Les compteurs de messages classés comme spam ;
- Le nombre de destinataires distincts ;
- Les adresses IP associées au compte ;
- Les principaux destinataires des emails envoyés.
Parmi ces 33 fiches, 23 présentent une activité d’envoi, tandis que 16 comportent au moins un échec d’authentification. L’ensemble recense 90 adresses IP distinctes.
Un détail mérite toutefois d’être souligné : la colonne contenant les adresses email porte le nom « email_guess ». Cela suggère que certaines adresses ont pu être déduites à partir des identifiants, plutôt qu’extraites directement d’une base de comptes vérifiée.
Les 540 fiches annoncées ne peuvent donc pas être automatiquement assimilées à 540 clients identifiés avec certitude.
Une extraction des journaux techniques plutôt qu’un fichier commercial ?
La structure des quatre fichiers soulève une question sur la véritable origine des données.
La présence de références à des journaux d’envoi, d’horodatages précis, d’adresses IP et de statistiques d’authentification évoque des informations issues de la supervision d’un service de messagerie.
Une telle extraction pourrait provenir de journaux de serveurs, d’un outil d’analyse ou de fichiers d’export regroupant différents événements techniques.
En revanche, les éléments disponibles ne permettent pas de déterminer si l’auteur a compromis un serveur de SolNet, récupéré une sauvegarde, exploité un accès à un outil de supervision ou obtenu les fichiers par un autre moyen.
Les extraits ne démontrent pas non plus que les boîtes mail elles-mêmes, leurs mots de passe ou leurs messages aient été piratés. Aucun mot de passe n’apparaît dans les fichiers examinés.
Pourquoi les métadonnées des emails sont-elles sensibles ?
Une fuite de données de messagerie ne nécessite pas forcément l’accès au contenu des emails pour présenter un risque.
En connaissant les correspondants habituels d’un utilisateur, les dates de ses échanges et les adresses IP associées à son compte, un cybercriminel pourrait préparer des tentatives d’hameçonnage plus crédibles.
Il pourrait notamment usurper l’identité d’un interlocuteur connu pour envoyer une fausse facture, une demande de paiement ou un document malveillant.
La connaissance des identifiants de connexion et des adresses email pourrait également alimenter des tentatives d’attaque contre les comptes, notamment lorsque leurs propriétaires réutilisent leurs mots de passe sur différents services.
Les adresses IP et les horaires d’activité peuvent aussi fournir des indications sur les habitudes de connexion, même si une adresse IP ne permet pas à elle seule d’identifier précisément le lieu de résidence d’une personne.
SolNet n’a pas confirmé l’incident
Au 31 octobre 2026, aucune communication officielle de SolNet confirmant une compromission liée à cette publication n’a été identifiée.
L’analyse des échantillons confirme néanmoins la présence de données techniques structurées, associées à des comptes et à des échanges de messagerie. Les enregistrements examinés couvrent une période récente, comprise entre le 10 et le 24 octobre 2026.
Le hacker revendique 6 804 lignes concernant environ 5 000 personnes, mais ce volume de personnes distinctes ne peut pas être établi à partir des 496 lignes disponibles. Le recoupement des fichiers montre au contraire que plusieurs événements peuvent concerner un même compte.
La publication ne démontre donc pas une compromission générale des infrastructures de SolNet. Elle soulève toutefois une question importante : comment des historiques d’envoi d’emails, des adresses IP et des tentatives de connexion attribués à un opérateur suisse ont-ils pu se retrouver proposés à la vente ?
Pour les utilisateurs de la messagerie SolNet, la prudence reste de mise face aux messages inattendus, particulièrement ceux semblant provenir de correspondants habituels ou demandant de vérifier des identifiants de connexion.
Source originale : Cyberattaque.org.
