L’incident de cybersécurité chez Infogreffe est confirmé. Son périmètre reste à établir. Dans un communiqué du 12 octobre 2026, le groupement des greffes des tribunaux de commerce situe l’événement sur un environnement technique d’une plateforme digitale « actuellement en cours de développement ».
Cette précision compte pour les entreprises qui utilisent ses services. Elle distingue l’espace concerné des outils actuellement exploités. Elle ne permet toutefois pas, à elle seule, de connaître la nature des accès obtenus ni les informations éventuellement récupérées.
Ce qu’Infogreffe confirme sur les services et les données
« À ce stade des investigations, aucun impact sur les services Infogreffe actuellement en production ni sur l’activité des greffes n’a été identifié », écrit le groupement. Il précise que les éléments analysés concernent essentiellement des informations techniques.
Concernant les données, Infogreffe indique qu’aucune donnée métier des greffes ni aucun mot de passe utilisateur n’ont été identifiés dans les éléments publiés. Cette déclaration porte sur les documents examinés jusqu’ici. Elle ne constitue pas une conclusion définitive sur l’ensemble de l’incident.
À lire aussi
L’organisme annonce également le déclenchement immédiat d’une cellule de crise, la mobilisation d’experts en cybersécurité et des actions préventives. Il poursuit ses investigations pour confirmer le périmètre et renforcer ses dispositifs de sécurité. Le communiqué ne détaille ni la méthode d’accès ni les mesures techniques prises.
Le portail officiel Infogreffe permet notamment de rechercher des entreprises et d’obtenir des extraits Kbis, des comptes annuels ou des actes et statuts. L’intégrité de ces documents et la continuité de leur accès intéressent directement les directions financières, juridiques et commerciales.
Une revendication ne mesure pas le nombre de personnes touchées
Un message de revendication diffusé en ligne affiche le chiffre de 3,7 millions et présente l’opération comme une compromission complète. Infogreffe ne confirme ni ce volume ni cette description dans son communiqué.
Sans inventaire vérifié, ce chiffre ne permet pas de compter les personnes ou les entreprises concernées. Des enregistrements informatiques peuvent correspondre à des événements techniques répétés, à plusieurs opérations concernant un même compte ou à des données de test. Leur nombre ne renseigne donc pas, à lui seul, sur la gravité de l’exposition.
Il faut également distinguer les mots de passe des utilisateurs des identifiants techniques employés par une application. Le communiqué se prononce sur les premiers. Il ne fournit pas un inventaire des éventuels paramètres de connexion ou secrets techniques exposés.
Cette distinction entre le nom visé par une revendication et le système effectivement atteint rejoint celle examinée dans notre article sur la fuite de données associée à Fiducial.
Incident de cybersécurité chez Infogreffe : l’enjeu du développement
Un environnement de développement sert à concevoir et tester un outil avant son exploitation. Il peut contenir des configurations, des journaux ou des données nécessaires aux essais. Sa sécurité dépend notamment de sa séparation avec les services en production et des accès qu’on lui accorde.
La CNIL recommande d’encadrer les développements informatiques dans un environnement distinct de la production, avec des données fictives ou anonymisées. Elle demande aussi de veiller à l’absence de secrets d’authentification ou de chiffrement dans les outils de gestion du code.
Pour une PME qui développe un portail client ou confie un projet à un prestataire, ces règles concernent aussi la phase de test. Copier une base réelle pour gagner du temps ou réutiliser un accès technique peut accroître l’exposition. Rien ne permet toutefois d’établir que ces pratiques expliquent l’incident d’Infogreffe.
Pour les entreprises, un périmètre encore à documenter
Les éléments communiqués ne permettent pas de conclure à une interruption générale des démarches ou à une altération des documents certifiés. La situation diffère donc, à ce stade, des conséquences opérationnelles décrites dans notre article sur les flux suspendus après la cyberattaque de VosFactures.
Si les investigations établissaient une violation de données personnelles, les règles de notification rappelées par la CNIL s’appliqueraient selon le risque. Une notification à l’autorité est requise, en principe sous 72 heures après en avoir pris connaissance, lorsqu’un risque existe ; un risque élevé impose aussi d’informer les personnes concernées, sous réserve des exceptions prévues. Le communiqué ne précise pas si une notification a été effectuée.
La prochaine communication d’Infogreffe devra permettre de mieux cerner les accès obtenus et les catégories d’informations concernées. C’est ce périmètre confirmé qui permettra aux entreprises utilisatrices d’évaluer les éventuelles conséquences pour leurs comptes et leurs données.
À lire également sur Business Times
