Fuite BlgCloud : 14 entreprises publiées, 44 Go chez un loueur de Seclin

Q: Mon entreprise figure sur la liste des 159 environnements : suis-je certain d'avoir été piraté ?

Non. La liste provient de l'auteur de la revendication et sa publication ne prouve pas qu'une exfiltration a eu lieu pour chaque nom qui y figure. Elle constitue en revanche un motif suffisant pour saisir son éditeur par écrit, demander une confirmation datée du statut de son instance, et appliquer immédiatement les mesures de prudence sur les changements de coordonnées bancaires.

Le vendredi 28 août 2026, un cybercriminel a mis en ligne ce qu'il numérote lui-même « BlgCloud Leak #15 » : 464 gigaoctets et 666 155 fichiers attribués à Actis Location, loueur de matériel professionnel. C'est le quinzième épisode d'une série ouverte début août contre les clients de BlgCloud, éditeur français d'un ERP en mode SaaS utilisé par les concessionnaires, loueurs et réparateurs de matériel agricole, de manutention et de BTP. Six jours plus tôt, le samedi 22 août, le même dispositif avait publié 44 Go et 49 035 fichiers attribués à Dron — groupe familial de location de matériel fondé en 1922 et installé à Seclin, dans le Nord. C'est, à ce jour, la seule entreprise des Hauts-de-France dont les données issues de cet incident ont été effectivement diffusées. Deux autres noms régionaux figurent sur la liste revendiquée par l'attaquant sans avoir encore été publiés. Le point qui mérite l'attention des dirigeants régionaux n'est pourtant ni le volume ni l'ancienneté de la maison Dron. C'est un écart de comptage. BlgCloud a communiqué le chiffre de 13 instances clientes touchées par une exfiltration, dont 5 seulement avec une exfiltration significative de documents. Or, en recensant les publications effectivement mises en ligne depuis le 8 août, nous identifions nommément quatorze entreprises distinctes dont des documents internes — contrats, devis, e-mails, fiches CRM — ont été diffusés. Et l'attaquant en est, de son propre compteur, au quinzième épisode.

Les sept repères de cet article

Fin juillet 2026 — date de l'intrusion selon BlgCloud.
8 août 2026 — l'éditeur reconnaît publiquement l'incident ; la revendication apparaît sur un forum criminel.
159 environnements sur environ 230 — le périmètre revendiqué par l'attaquant.
13 instances, dont 5 avec documents — le périmètre communiqué par BlgCloud.
14 entreprises identifiées, 15 épisodes numérotés — le décompte des publications réellement effectuées au 28 août.
22 août, 44 Go — la publication visant Dron, à Seclin (59).
Un épisode tous les deux jours depuis le 16 août — sept publications consécutives à cadence régulière.

Ce qui s'est passé : un compte extranet, des droits mal configurés, 230 environnements en aval

BlgCloud édite un progiciel de gestion intégré accessible entièrement en ligne. Sa clientèle est très typée : concessionnaires, distributeurs, loueurs, réparateurs et grossistes de matériel agricole, de manutention, de travaux publics et de BTP. Dans ce métier, l'ERP n'est pas un outil parmi d'autres — il porte le CRM, le fichier clients et fournisseurs, la vente, la location, le SAV, le parc matériel, les achats, la finance, les documents et les échanges commerciaux. Autrement dit : à peu près tout ce qui fait tourner une PME de ce secteur. Selon le communiqué d'incident publié par l'éditeur — dont Cyberattaque.org et FrenchBreaches ont rendu compte en détail —, l'attaque a reposé sur l'exploitation d'une requête permettant de créer un compte extranet restreint. Le scénario supposait que l'ancienne et la nouvelle version de l'extranet cohabitent sur l'instance concernée. Une mauvaise configuration des droits attribués à ce compte a ensuite ouvert l'accès aux données. BlgCloud précise que cette configuration n'avait pas été détectée lors de ses précédents tests d'intrusion. Un second scénario, distinct, concerne trois instances : des comptes d'utilisateurs internes usurpés à l'aide d'identifiants issus d'une fuite de credentials survenue en juin 2026. L'éditeur pointe à cette occasion deux causes très ordinaires, et pour cela même instructives : des pratiques insuffisantes de gestion des mots de passe, et la persistance de comptes d'anciens utilisateurs dont les accès n'avaient jamais été révoqués.

Ce que BlgCloud affirme, et qu'il faut restituer

L'éditeur conteste les 159 instances revendiquées. Il indique que la disponibilité de l'ERP, l'intégrité des données, l'infrastructure d'hébergement et les sauvegardes n'ont pas été affectées, qu'il utilise des sauvegardes de type WORM, qu'aucun numéro de carte bancaire n'est stocké sur ses instances, et qu'aucune donnée comptable, aucun prix d'achat et aucune information relative au personnel n'ont été compromis. Il déclare avoir corrigé la configuration des droits, fortement limité la création de comptes extranet, ajouté un code de vérification par e-mail pour les clients dépourvus d'authentification SAML, déposé plainte et notifié la CNIL.

Ces éléments sont la version de l'éditeur. Ils sont vérifiables sur son communiqué, pas auprès d'un tiers indépendant. Nous les publions tels quels.

Le décompte qui ne colle pas : 5 instances « avec documents » d'un côté, 14 entreprises publiées de l'autre

Voici l'exercice que nous avons mené, et qui constitue l'apport principal de cet article. BlgCloud a communiqué un périmètre chiffré : 13 instances clientes touchées par une exfiltration, dont 5 seulement avec « une exfiltration significative de documents ». Nous avons donc recensé, une par une, les publications effectivement mises en ligne par l'attaquant et documentées publiquement par FrenchBreaches et Cyberattaque.org, en ne retenant que celles où des documents — et pas seulement des contacts — figurent dans les échantillons décrits.

Date de publication	Entreprise visée	Volume revendiqué	Fichiers revendiqués
Avant le 8 août	Agri62	9,33 Go	45 684
Début août (« Leak #3 »)	Groupe Cloué	6,7 Go	plus de 9 000
12 août	Leroch Distribution	3,3 Go	non précisé
12 août	Loutz	3,4 Go	près de 10 000
14 août	Chupin	16 Go	70 974
15 août	Le Bon Matériel	13,8 Go	48 290
16 août (« Leak #9 »)	Groupe Lenormant	20,6 Go	38 968
Mi-août	Cravero Motoculture	3,7 Go	49 168
18 août	Taveau	21,2 Go	plus de 107 000
20 août	Bergerat Rent	43 Go	132 433
22 août	Dron — Seclin (59)	44 Go	49 035
24 août	Groupe Bernard	22,25 Go	330 563
26 août	Comptoir de Location (CDL)	13,48 Go	323 388
28 août (« Leak #15 »)	Actis Location	464 Go	666 155

Quatorze entreprises. Un compteur d'attaquant arrivé à quinze. Le décalage entre les deux chiffres signifie qu'au moins un épisode nous a échappé ou n'a pas fait l'objet d'une fiche publique consultable. Face à ces quatorze lignes, la communication de l'éditeur en annonce cinq avec documents. L'écart n'est pas une erreur de l'un ou de l'autre : c'est le signe que le périmètre communiqué le 8 août n'a pas été mis à jour au rythme des publications. Trois semaines plus tard, le chiffre de référence dont dispose un dirigeant qui s'informe est resté celui du premier jour.

Méthode — et ce que ce décompte ne dit pas

Le recensement porte sur les publications documentées par deux observatoires spécialisés, consultés le 29 août 2026. Il ne prétend pas à l'exhaustivité : il constitue un plancher.
Un environnement n'est pas une entreprise. Un même groupe peut disposer de plusieurs instances — la liste revendiquée contient par exemple « dron » et « dron-maroc », ou « arc-amiens » et « arc-mpg ». Notre décompte porte sur des entreprises distinctes, pas sur des instances.
Les volumes sont ceux revendiqués par l'attaquant, jamais confirmés indépendamment. Pour Actis Location, la mention « après conversion en texte » rend même la comparaison des 464 Go avec les autres lignes hasardeuse.
Rien ne permet d'affirmer que le système d'information propre de ces entreprises a été compromis. Les éléments disponibles pointent vers l'environnement hébergé, pas vers leurs réseaux internes.
Certaines des entreprises publiées pourraient relever du second scénario décrit par l'éditeur (trois instances, comptes usurpés) plutôt que du premier.

Une cadence de publication d'un dump tous les deux jours — le prochain est attendu ce dimanche

Un détail de la chronologie mérite d'être publié parce qu'il est actionnable. Depuis le dimanche 16 août, les publications se succèdent à intervalle strictement régulier : 16, 18, 20, 22, 24, 26, 28 août. Sept épisodes consécutifs, un tous les deux jours. L'auteur annonce d'ailleurs lui-même, à chaque publication, l'entreprise suivante — il a nommé Groupe Bernard le 22 août avant de la publier le 24. Si la cadence tient, le seizième épisode tombe le dimanche 30 août 2026, soit demain. Pour une entreprise figurant sur la liste revendiquée, cela transforme une inquiétude diffuse en fenêtre de temps concrète : il reste un week-end pour prévenir sa comptabilité fournisseurs, pas trois semaines. Nous publions cette projection comme ce qu'elle est — une extrapolation sur sept points, pas une prévision. Une seule interruption la rendrait caduque.

L'ancrage régional : Dron à Seclin, et deux autres noms des Hauts-de-France sur la liste

La liste des 159 environnements revendiqués a été publiée intégralement par FrenchBreaches. Nous l'avons parcourue à la recherche d'entreprises implantées dans les Hauts-de-France, en vérifiant chaque candidat auprès d'une source indépendante de l'incident. Trois groupes ressortent, correspondant à cinq entrées de la liste.

Entrée dans la liste	Entreprise	Implantation vérifiée	Statut au 29 août
`dron`, `dron-maroc`	Dron (location de matériel BTP, industrie, collectivités, événementiel)	Seclin (59), 28 rue Luyot ; maison fondée en 1922, référencée par CCI Business Hauts-de-France	Données publiées le 22 août — 44 Go, 49 035 fichiers
`arc-amiens`, `arc-mpg`	ARC Location / ARC MPG Location (location BTP et industrie)	Agences à Amiens (80), Compiègne (60) et Soissons (02) — les trois en Hauts-de-France	Sur la liste revendiquée ; aucune publication constatée
`patoux-equipagri`	Patoux (concessionnaire agricole et motoculture)	Réseau de concessions sur le Nord (59) et le Pas-de-Calais (62)	Sur la liste revendiquée ; aucune publication constatée

Ce décompte est volontairement conservateur. Plusieurs entrées portent des noms qui évoquent la région sans que nous ayons pu le confirmer — agri62, dont les données ont pourtant été les premières publiées, ou groupe-artois : aucune source indépendante consultée ne rattache formellement ces raisons sociales à un établissement des Hauts-de-France, et nous ne les avons donc pas comptées. À l'inverse, la vérification a écarté un faux ami : evrard-sprimat désigne un concessionnaire établi à Sart-lez-Spa, en Belgique. La liste est nationale et déborde même les frontières.

Pourquoi une PME de Seclin intéresse un escroc

Les échantillons analysés par Cyberattaque.org dans le dump attribué à Dron contiennent des e-mails professionnels complets — expéditeurs, destinataires, objets, contenus —, des commandes d'achat et des échanges logistiques, des fiches CRM avec noms, fonctions et coordonnées, des adresses postales, et des contrats de location au format PDF. L'un des messages porte sur une commande de transport liée à une reprise de matériel.

Ce n'est pas un fichier de contacts. C'est le contexte réel d'une relation commerciale : qui commande quoi, à qui, pour quel chantier, à quel prix, avec quelles échéances. Un escroc n'a plus à inventer un prétexte crédible — il le recopie.

Le risque n° 1 n'est pas le vol de données, c'est le faux RIB

Dans la fiche publiée par FrenchBreaches, la liste des risques est explicite : hameçonnage ciblé, ingénierie sociale, fraude au faux fournisseur, fraude au président, usurpation de salariés ou de partenaires, exploitation d'IBAN. Le dump attribué à Actis Location contient, d'après les échantillons décrits, des devis complets avec numéro, dates de location, désignation du matériel, tarifs, remises, frais de transport, montants HT, TVA et TTC, conditions de règlement. Avec ces éléments, une tentative de fraude ne ressemble plus à une tentative de fraude. Elle ressemble à une relance de facture. Le message cite le bon numéro de devis, le bon matériel, la bonne période, le bon montant, et provient d'une adresse qui imite celle d'un interlocuteur réellement en copie des échanges précédents. Il ne demande qu'une chose : un changement de coordonnées bancaires.

Aucun changement de RIB ne se valide sur la base d'un e-mail seul, quel que soit l'expéditeur apparent.

Le contre-appel téléphonique, effectué au numéro habituel du fournisseur — celui d'un contrat signé, jamais celui qui figure dans l'e-mail suspect — reste la parade la plus efficace et la moins coûteuse. Cybermalveillance.gouv.fr en a fait une fiche réflexe dédiée, et une vidéo de sensibilisation.

« Fraude au virement ou faux RIB : que faire ? » — chaîne officielle de Cybermalveillance.gouv.fr, dispositif national d'assistance aux victimes de cybermalveillance.

Qui doit prévenir qui, et dans quel délai : ce que dit le RGPD quand la fuite vient du prestataire

C'est le point où beaucoup de dirigeants se trompent. Quand une fuite survient chez un éditeur SaaS, le réflexe est de considérer que l'affaire se règle entre l'éditeur et la CNIL. Le règlement européen dit autre chose. Dans cette configuration, l'entreprise cliente est le plus souvent responsable de traitement, et l'éditeur son sous-traitant. Les obligations ne se transfèrent pas : elles se répartissent.

Qui	Fait quoi	Dans quel délai	Fondement
Le sous-traitant (l'éditeur SaaS)	Notifie la violation à son client, responsable de traitement	« Dans les meilleurs délais » — aucun délai chiffré dans le texte	Article 33(2) du RGPD
Le responsable de traitement (l'entreprise cliente)	Notifie la violation à la CNIL, si elle présente un risque pour les droits et libertés	72 heures après en avoir pris connaissance ; au-delà, motifs du retard exigés	Article 33(1) du RGPD
Le responsable de traitement	Informe les personnes concernées si le risque est élevé	Dans les meilleurs délais	Article 34 du RGPD
Le responsable de traitement	Consigne la violation et la justification de son appréciation du risque au registre interne	Dans tous les cas, y compris sans notification	Article 33(5) du RGPD

Deux conséquences pratiques. D'abord, le délai de 72 heures démarre à la connaissance de la violation par le responsable de traitement, c'est-à-dire au moment où l'éditeur l'a prévenu — pas au moment de l'intrusion. Ensuite, l'article 33(2) n'imposant pas de délai chiffré au sous-traitant, ce délai doit être écrit dans le contrat, au titre de l'article 28. Une clause de 24 ou 48 heures laisse au client le temps d'agir ; l'absence de clause le met en difficulté sans qu'il l'ait choisi. Dernier point, moins connu : même lorsqu'une entreprise conclut qu'il n'y a pas lieu de notifier, elle doit pouvoir justifier cette appréciation dans son registre des violations. L'absence de justification constitue en soi un manquement.

Sept vérifications à mener cette semaine si votre entreprise dépend d'un ERP en SaaS

Vérifier si votre nom figure sur la liste revendiquée. Elle est publiée intégralement et librement consultable. La présence d'un nom ne prouve rien à elle seule, mais elle justifie de contacter votre éditeur par écrit et d'exiger une réponse datée.
Geler toute modification de coordonnées bancaires jusqu'à contre-appel. C'est la mesure qui coûte le moins et qui bloque le scénario le plus probable. Elle doit être écrite, communiquée à la comptabilité fournisseurs, et s'appliquer même — surtout — quand le message paraît parfaitement légitime.
Sortir la liste des comptes actifs sur votre instance et révoquer les anciens. L'éditeur cite lui-même les comptes d'anciens utilisateurs jamais désactivés parmi les facteurs aggravants. Ce contrôle prend une heure et ne nécessite aucun prestataire.
Activer l'authentification à double facteur là où elle existe. BlgCloud a ajouté un code de vérification par e-mail pour les clients dépourvus de SAML ; encore faut-il que le client l'active et le rende obligatoire.
Relire la clause de notification de votre contrat de sous-traitance. Cherchez un délai chiffré. S'il n'y en a pas, c'est le sujet de votre prochaine renégociation, et l'article 28 du RGPD vous donne le fondement pour le demander.
Ouvrir une entrée au registre des violations, même sans certitude. Datez ce que vous savez, ce que vous avez demandé, ce qu'on vous a répondu. C'est ce document qui protège en cas de contrôle, pas la conviction d'avoir bien fait.
Prévenir vos propres clients et fournisseurs du risque d'usurpation. Les données exposées ne concernent pas que vos salariés : elles décrivent vos relations commerciales. Vos interlocuteurs sont, eux aussi, des cibles crédibles.

Le contexte : la France a déjà dépassé son total 2025 de revendications ransomware

Cet incident n'est pas isolé. Le 22 août, ZATAZ relevait 181 publications attribuées à des groupes de rançongiciel visant la France depuis janvier 2026, contre 176 cas pour l'ensemble de l'année 2025 — un total annuel dépassé avant la fin du mois d'août. Deux groupes concentrent 71 de ces 181 entrées : Qilin (37) et The Gentlemen (34), soit environ 39,2 %. Le média assortit lui-même son chiffre d'une précaution qu'il faut reprendre : ces publications constituent « une source de renseignement cyber, pas un registre vérifié des cyberattaques réellement subies ». Une entreprise peut être compromise sans jamais apparaître sur un site d'extorsion ; une autre peut y être nommée alors que l'étendue réelle de l'accès reste inconnue. La hausse observée ne se traduit donc pas mécaniquement en hausse du nombre d'intrusions. Ce que ces chiffres établissent, en revanche, c'est un déplacement du point d'entrée. Les trois dernières semaines ont vu se succéder, dans la couverture régionale de ce site, une fuite passant par un environnement de préproduction, une autre par un export quotidien vers un serveur FTP, une troisième par un registrar de noms de domaine, et celle-ci par un ERP mutualisé. À chaque fois, la victime nommée n'est pas celle qui a été attaquée. Le CLUSIF et l'ANSSI ont consacré un échange entier à ce déplacement.

« Supply Chain : comment sécuriser sa chaîne d'approvisionnement ? » — le CLUSIF, association française de professionnels de la sécurité de l'information, reçoit l'ANSSI. Format associatif, non institutionnel.

Ce que nous ne savons pas

La nature exacte de la vulnérabilité. L'attaquant affirme la vendre séparément. L'éditeur décrit un parcours — création de compte extranet, droits mal configurés — sans nommer de composant ni de référence CVE.
Le nombre de personnes physiques concernées. Aucune estimation fiable n'existe. Les données touchent des salariés, mais aussi les clients, prospects, fournisseurs et partenaires des entreprises utilisatrices.
Si l'accès est toujours actif. L'éditeur affirme avoir corrigé ; aucun tiers indépendant ne l'a confirmé publiquement.
Quelles entreprises ont notifié la CNIL. BlgCloud déclare l'avoir fait pour sa part. Rien n'indique combien de ses clients, responsables de traitement, ont mené leur propre notification.
Si Dron, ARC ou Patoux ont communiqué. Aucune prise de parole publique de ces entreprises n'a été identifiée au 29 août 2026. Leur silence n'a aucune valeur probante, dans un sens comme dans l'autre.
Ce que valent réellement les 464 Go d'Actis Location. La mention « après conversion en texte » désigne une opération non documentée qui rend le chiffre difficilement comparable aux autres.

Questions fréquentes

Mon entreprise figure sur la liste des 159 environnements : suis-je certain d'avoir été piraté ?

Non. La liste provient de l'auteur de la revendication, et sa publication ne prouve pas qu'une exfiltration a eu lieu pour chaque nom qui y figure. Elle constitue en revanche un motif suffisant pour saisir votre éditeur par écrit, demander une confirmation datée du statut de votre instance, et appliquer immédiatement les mesures de prudence sur les changements de coordonnées bancaires.

Est-ce à mon prestataire ou à moi de notifier la CNIL ?

Aux deux, mais pas de la même manière. Le prestataire, sous-traitant au sens du RGPD, doit vous notifier la violation dans les meilleurs délais (article 33-2). C'est ensuite à vous, responsable de traitement, de notifier la CNIL dans les 72 heures suivant votre prise de connaissance, si la violation présente un risque pour les droits et libertés des personnes (article 33-1). Le fait que l'éditeur ait notifié de son côté ne vous dispense pas de la vôtre.

Quel est le risque concret pour une PME du BTP ou du machinisme agricole ?

La fraude au faux fournisseur, aussi appelée fraude au changement de RIB. Les données diffusées contiennent des devis, des e-mails réels et des relations commerciales identifiables : un escroc peut construire un message qui cite le bon numéro de devis, le bon matériel et le bon montant, puis demander un changement de coordonnées bancaires. La parade est un contre-appel systématique au numéro habituel du fournisseur, jamais à celui indiqué dans le message.

Quelles entreprises des Hauts-de-France sont concernées ?

Une seule a vu ses données effectivement publiées à ce jour : Dron, groupe de location de matériel installé à Seclin dans le Nord, visé le 22 août par une diffusion de 44 Go et 49 035 fichiers. Deux autres groupes régionaux figurent sur la liste revendiquée sans publication constatée : ARC Location, qui exploite des agences à Amiens, Compiègne et Soissons, et le réseau Patoux, concessionnaire agricole implanté dans le Nord et le Pas-de-Calais. Ce décompte est un plancher : il repose sur les seuls noms que nous avons pu rattacher à un établissement régional par une source indépendante.

Faut-il changer d'ERP après un incident de ce type ?

Rarement, et jamais dans l'urgence. Migrer un ERP qui porte le CRM, le parc matériel et la facturation représente un projet de plusieurs mois et crée ses propres risques. Les leviers utiles à court terme sont contractuels et organisationnels : un délai de notification chiffré au contrat, une revue des comptes actifs, l'activation de l'authentification à double facteur, et une procédure écrite de validation des changements de RIB. La question du changement de fournisseur se pose ensuite, à froid, au vu de la qualité et de la régularité de l'information transmise pendant la crise.

Sources et méthode

Tous les liens ci-dessous ont été contrôlés le samedi 29 août 2026. Le recensement des publications et l'identification des entreprises régionales ont été réalisés le même jour, à partir des fiches publiques de deux observatoires spécialisés et de sources d'entreprise indépendantes de l'incident. Les volumes cités sont ceux revendiqués par l'attaquant ; aucun n'a été confirmé indépendamment.

FrenchBreaches — fiche BlgCloud, liste intégrale des 159 environnements et réponse de l'éditeur ; Actis Location, « Leak #15 » ; Chupin ; Loutz ; Leroch Distribution ; Le Bon Matériel ; Groupe Lenormant ; Cravero Motoculture ; Groupe Cloué ; Comptoir de Location ; Groupe Bernard.
Cyberattaque.org — analyse de l'incident et du communiqué de l'éditeur ; Dron, 49 035 fichiers ; Bergerat Rent ; Taveau ; Groupe Bernard ; Comptoir de Location ; fil des attaques.
BlgCloud — notification d'incident de sécurité et mesures de protection ; historique d'incidents de la plateforme.
INCYBER NEWS — récapitulatif des fuites françaises d'août 2026. ZATAZ — 181 revendications ransomware en France en 2026.
Vérification des implantations régionales — CCI Business Hauts-de-France, fiche Dron Location SAS ; La Gazette France, Dron Location à Seclin ; ARC Location ; Patoux.
Cadre juridique et prévention — CNIL, violations de données : les règles à suivre ; RGPD, chapitre IV : responsable du traitement et sous-traitant ; service en ligne de notification ; Cybermalveillance.gouv.fr, fraude au virement ou au faux RIB ; escroquerie aux faux ordres de virement ; France Num, détecter et éviter la fraude aux faux fournisseurs.