Début octobre 2026, le caviste en ligne Cave Coste a reconnu qu’une faille de son site avait permis de lire une ancienne copie de son fichier clients, où les mots de passe étaient stockés en clair. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, détection, questions d’audit ISO 27001 et pistes de sensibilisation. Les détails techniques publiés sont très limités : ni la faille, ni l’emplacement de la copie, ni le canal d’extraction ne sont connus.
Pour une lecture orientée dirigeant, voir notre décryptage « Mots de passe en clair : la vieille copie oubliée qui a trahi un caviste en ligne ».
Contexte
- Sources : communication officielle de l’entreprise, publiée le 3 octobre 2026 sur son blog et adressée aux clients joignables (Cave Coste) ; reprise par Cyberattaque.org, 28 octobre 2026. Aucune autre couverture trouvée.
- Victime : Cave Coste (SARL Coste), caviste à Tournon-sur-Rhône, boutique en ligne propre. Une TPE/PME typique du commerce en ligne.
- Chronologie : exploitation entre août et début septembre 2026 ; faille repérée et corrigée début septembre ; alerte d’un client le 29 septembre, qui révèle la nature de la copie lue ; annonce publique le 3 octobre.
- Impact : adresses e-mail et mots de passe en clair de tous les comptes créés avant le 30 juillet 2026, comptes inactifs compris ; volume non communiqué ; pas de données de paiement (traitées par la banque). Attaquant non identifié, aucune revendication trouvée.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Exploitation d’une faille du site, nature non précisée | T1190 Exploit Public-Facing Application |
| Collecte | Lecture du fichier clients ; la copie visée était une ancienne copie | T1005 Data from Local System (hypothèse : copie présente sur le serveur web ou atteignable depuis lui, non confirmée) |
| Accès aux identifiants | Mots de passe lisibles en clair dans cette copie ; la base active les stockait déjà sous forme protégée depuis l’été | T1552.001 Unsecured Credentials: Credentials In Files |
| Exfiltration | Données « copiées » ; canal non décrit | Non documenté |
| Exploitation aval (risque) | Mise en garde de l’entreprise contre la réutilisation des mots de passe et les faux messages à son nom | T1110.004 Credential Stuffing ; T1078 Valid Accounts ; T1566 Phishing |
Faits techniques connus sur le stockage des mots de passe
- La base en service conserve les mots de passe sous une forme décrite comme « illisible même pour nous », ce qui correspond a priori à une fonction de hachage non réversible ; l’algorithme n’est pas précisé.
- La migration vers ce mode de stockage, faite pendant l’été 2026, n’a pas couvert une copie antérieure du fichier, restée en place jusqu’à l’incident. C’est le cœur du cas : une migration de sécurité incomplète, qui laisse coexister deux niveaux de protection pour les mêmes données.
- Pour mémoire, la CNIL rappelle dans sa recommandation sur les mots de passe (délibération n° 2022-100) qu’ils ne doivent jamais être stockés en clair, mais transformés par une fonction cryptographique non réversible avec sel ou clé, et cite des fonctions spécialisées comme scrypt ou Argon2.
Ce qu’on ne sait pas
- La classe de vulnérabilité exploitée et la manière dont la copie était atteignable.
- L’emplacement exact de la copie (répertoire du serveur web, sauvegarde, export) et son format.
- Le volume de comptes, la date d’extraction et l’usage déjà fait des données.
- La présence d’autres champs (identité, adresse, historique de commandes) dans la copie.
Détection : la faille vue, l’ampleur comprise grâce à un client
- Détection de la faille : repérée et corrigée début septembre ; le déclencheur n’est pas précisé.
- Angle mort : l’entreprise savait qu’une faille avait existé, mais pas quelles données avaient été lues. C’est l’alerte d’un client, le 29 septembre, qui a révélé que la copie consultée contenait des mots de passe en clair. Sans journalisation des accès aux fichiers et sans inventaire des copies de données, l’appréciation de l’impact d’une intrusion reste incomplète.
- Réponse : correction de la faille, suppression des anciennes copies, notification à la CNIL, message individuel aux clients joignables, avis public pour les autres, lien direct de changement de mot de passe et mise en garde contre l’hameçonnage. Délai court entre la compréhension de l’impact (29 septembre) et l’annonce (3 octobre).
- Point d’attention : la communication publique ne mentionne pas de réinitialisation forcée des mots de passe exposés à la prochaine connexion, mesure que la CNIL recommande en cas de compromission ; elle n’est pas non plus exclue.
Questions d’audit ISO 27001:2022
- A.5.9, A.8.10 et A.8.13 (inventaire des informations et autres actifs associés ; suppression des informations ; sauvegarde des informations) : « Montrez-moi l’inventaire des copies de vos données clients : base active, exports, sauvegardes, anciennes versions, environnements de test. Pour chacune : emplacement, accès, durée de conservation, et preuve de destruction quand elle n’est plus utile. »
- A.5.17, A.8.24 et A.8.32 (informations d’authentification ; utilisation de la cryptographie ; gestion des changements) : « Comment les mots de passe des utilisateurs de vos applications sont-ils stockés (algorithme, sel, paramètres) ? Lors du dernier changement de ce mode de stockage, quel contrôle a permis de vérifier que toutes les copies existantes avaient été converties ou détruites ? »
- A.8.8, A.8.28 et A.8.29 (gestion des vulnérabilités techniques ; codage sécurisé ; tests de sécurité dans le développement et l’acceptation) : « Quand le site a-t-il été testé pour la dernière fois ? Des fichiers non publics (sauvegardes, exports, fichiers de configuration) sont-ils présents dans l’arborescence servie ou atteignables depuis l’application ? »
- A.8.15, A.5.25, A.5.26 et A.5.34 (journalisation ; appréciation des événements ; réponse aux incidents ; protection des DCP) : « Après la correction d’une faille, comment établissez-vous quelles données ont été lues ? La procédure prévoit-elle la notification à l’autorité sous 72 heures, l’information des personnes et la réinitialisation forcée des identifiants exposés ? »
Pistes de sensibilisation
- Pour les dirigeants, l’agence web et les équipes marketing : atelier « La chasse aux copies ». Recenser toutes les copies du fichier clients (exports, sauvegardes, anciennes versions du site, pièces jointes), décider pour chacune « garder, protéger ou détruire », puis vérifier la destruction. En appui : la recommandation de la CNIL sur les mots de passe.
- Pour tous les salariés : « Un mot de passe par porte ». Montrer, sur ce cas, comment une fuite chez un petit site permet d’ouvrir la messagerie puis les autres comptes quand le mot de passe est réutilisé, et présenter le gestionnaire de mots de passe de l’entreprise. Supports : la fiche « Pourquoi et comment bien gérer ses mots de passe ? » et la fiche « Piratage de compte, que faire ? » de Cybermalveillance.gouv.fr.
- Pour les équipes techniques : revue « migration de sécurité terminée ? ». Après tout changement de stockage ou de chiffrement, ajouter une étape de vérification des copies existantes à la liste de contrôle du changement.
À lire aussi : notre décryptage « Mots de passe en clair : la vieille copie oubliée qui a trahi un caviste en ligne » et notre bulletin de veille du 29 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.