Eurofiber France

Faits datés dans le dossier public

1. 6 novembre 2025

   Premières traces identifiées a posteriori : injection SQL aveugle visant la base des utilisateurs.

2. 10 novembre 2025

   L’exfiltration s’intensifie via des appels à l’API REST visant tickets et documents.

3. 13 novembre 2025

   La supervision détecte une activité anormale à 14 h 49. La cellule de crise s’ouvre. Eurofiber indique la vulnérabilité corrigée et le serveur concerné isolé à 18 h 15.

Comment cela s’est passé

Eurofiber indique qu’une vulnérabilité du logiciel de ticketing, connue dans la communauté de la sécurité sous une référence CVE, a permis une injection SQL et une extraction de données via API. Une version personnalisée dans l’environnement d’Eurofiber n’avait pas été identifiée comme vulnérable par l’éditeur. L’entreprise n’a nommé ni le produit ni l’identifiant CVE dans son propre retour d’expérience ; cette fiche ne traite pas un nom de produit ultérieur comme confirmé.

Ce qui a été exposé

Données d’identification telles que nom, prénom, e-mail, mot de passe haché et, le cas échéant, téléphone ou informations de profil. Le contenu des tickets, les échanges et certaines pièces jointes étaient aussi concernés. Eurofiber a indiqué qu’environ 2 % seulement des tickets les plus anciens avaient des pièces jointes dans la catégorie affectée. Le périmètre comprenait Eurofiber France et les marques régionales Eurafibre, FullSave, Netiwan et Avelia, ainsi que le portail Eurofiber Cloud Infra France. Les clients hors de France n’étaient pas concernés, selon l’entreprise.

Ce qui n’était pas dans le périmètre

Eurofiber a indiqué que les données bancaires ou critiques n’avaient pas été compromises. Elle a aussi indiqué que l’intégrité et la disponibilité des services réseau et cloud sous-jacents n’avaient pas été compromises par l’attaque.

Ce que cela a changé concrètement

L’impact direct sur le service a été limité, mais la valeur de renseignement en aval est importante. Les tickets de support d’un fournisseur peuvent exposer des noms d’hôtes, des détails d’architecture, des journaux de dépannage, des captures d’écran et des pièces jointes concernant de nombreuses organisations à la fois. Il s’agit d’un cas d’exposition fournisseur, même sans large décompte public de victimes.

Ce qui a suivi

Eurofiber a activé une cellule de crise avec son prestataire SOC, préservé les preuves forensiques, isolé et corrigé le service vulnérable, renouvelé les mots de passe et clés d’API, durci les restrictions d’IP, informé les clients et les autorités, et introduit une authentification plus forte et une protection des jetons d’API. L’entreprise a aussi signalé une tentative d’extorsion dans son suivi.

Ce que les suites ont modifié

Le retour d’expérience justifie de traiter le mécanisme d’exploitation — injection SQL et exfiltration via l’API REST — comme divulgué, tout en laissant l’identité de l’attaquant et tout nom de produit ultérieur non confirmés par Eurofiber.

Dans leurs mots

• Les premières traces de l’attaque remontent au 6 novembre

  Original The first traces of the attack date back to November 6

  Retour d’expérience d’Eurofiber France

• injection SQL

  Eurofiber France

Qu’est-ce que cela veut dire ?

Exfiltration

La copie de données hors d’un système vers un emplacement contrôlé par l’attaquant.

Injection SQL

Glisser des commandes de base de données dans un formulaire ou un lien ordinaire, pour que le site les exécute et renvoie des données qu’il ne devrait pas.

Identifiants

Un couple identifiant / mot de passe, ou la clé équivalente utilisée par une application pour se connecter.

Exposition fournisseur

Des données fuient par une entreprise prestataire de l’organisation plutôt que par l’organisation elle-même.